FIDO2
Das Standardpaar WebAuthn (Browser-API) + CTAP (Client-zu-Authenticator-Protokoll), das passwortlose, phishing-resistente Anmeldung mit Hardwareschlüsseln oder Passkeys ermöglicht.
Die Website erhält ein eindeutiges Schlüsselpaar pro Origin — der private Schlüssel verlässt nie den Authenticator (YubiKey, Titan, Touch ID, Windows Hello). Die Signatur kann User Presence (Berührung) und/oder User Verification (PIN, Biometrie) voraussetzen. Der Origin wird in die Signatur eingebunden → phishing-resistent by design.
FIDO Alliance + W3C, stabil seit 2019. Das Fundament unter Passkeys, die die Schlüssel über iCloud/Google synchronisieren, um das Problem des "verlorenen Schlüssels" zu lösen.