Com o lançamento da versão 60 do Firefox em 09 de maio, o Firefox é o primeiro grande browser a suportar Web Authentication API. Com essa API, os usuários poderão evitar o uso de senhas baseadas em texto simples e, ao invés disso, usar um dispositivo local com uma verificação biométrica ou PIN privado para gerar um identificador criptográfico seguro. No Chrome e Edge, o suporte para essa API está em desenvolvimento, e sob consideração para o Safari.
A especificação é uma colaboração entre a FIDO Alliance e W3C.
De acordo com o site da FIDO Alliance:
As especificações e certificações da FIDO Alliance permitem um ecossistema interoperável de hardware, no qual autenticadores móveis e biométricos podem ser usados com uma série de apps e sites. Esse ecossistema permite que empresas e provedores de serviços implantem soluções de autenticação fortes que reduzem a dependência de senhas e protegem contra phishing, ataque man-in-middle e ataques de repetição usando senhas roubadas.
A Web Authentication API permitiria aos usuários contornar a insegurança e a frustração de ter que lembrar senhas para cada site em favor de uma verificação biométrica simples em um dispositivo físico, como um telefone ou dispositivo USB. Nick Steele, da Duo Security, explicou em um post como isso seria:
Existem mais do que alguns casos diferentes de como o WebAuthn funcionaria na prática, porém o exemplo mais comum é: um usuário visita um site qualquer em seu laptop, como o cat-facts.com, e cria uma conta no site. Após clicar no botão para iniciar o registro, uma mensagem é enviada para o seu telefone dizendo "Registre-se em cat-facts.com".
Uma vez que tenha aceitado a requisição, o usuário seria solicitado a executar um "gesto de autorização," como digitar um PIN ou uma ação biométrica que está associada com a conta que está sendo criada. Após fornecer os dados, o site exibirá algo como "Registro completo!".
O usuário pode agora efetuar login em cat-facts.com usando o mesmo gesto de autorização do telefone.
De acordo com o rastreamento de bugs do Chrome, a Web Authentication API estará disponível na versão 67 do Google Chrome para desktop, agendado para ser liberado no dia 27 de maio de 2018. O Microsoft Edge suporta uma versão anterior da API, com diferenças notadas na documentação do desenvolvedor. Existe um polyfill disponível para suportar a versão atual da API no Edge. No que diz respeito ao Safari, o status é obscuro. O Chrome tracker lista a API como em desenvolvimento no Safari, enquanto o webkit feature status o relaciona como "sob consideração".
Um artigo no 9 to 5 Mac especula sobre por que a Apple pode ser incentivada a implementar o recurso:
Ainda não há notícias sobre o Safari, mas com todos os iPhones e iPads atuais e recentes oferecendo Face ID ou Touch ID, e o último também é compatível com o MacBook Pro, isso seria feito sob medida para a Apple. Não pode ser usado com outros navegadores sem o suporte da Apple.
Os desenvolvedores interessados em iniciar com a Web Authentication API podem aprender mais sobre isso em um rápido tutorial no site de desenvolvedores da Google ou com a documentação no MDN.