Fecha de publicación original: 25 de noviembre de 2025
KB ID: 5073129
Experiencia actualizada
Después de instalar la actualización de Windows, el 29 de septiembre de 2025, KB5065789 (compilaciones del SISTEMA operativo 26200.6725 y 26100.6725) o actualizaciones posteriores, es posible que tengas que crear un PIN para iniciar sesión con una clave de seguridad, incluso si no se requiere un PIN o se establece durante el registro inicial.
Este comportamiento se producirá cuando un usuario de confianza (RP) o un proveedor de identidades (IDP) solicite User Verification = Preferred durante la autenticación con una clave de seguridad de Fast IDentity Online 2 (FIDO2) que no tenga un PIN establecido.
Causa
Este es el comportamiento previsto, implementado para seguir cumpliendo con las especificaciones de WebAuthn.
El soporte técnico para este comportamiento comenzó a implementarse gradualmente en Windows 11 dispositivos después de instalar la actualización preliminar del 29 de septiembre de 2025 (KB5065789). La implementación se completó en Windows 11 clientes después de instalar la actualización de seguridad de Windows, el 11 de noviembre de 2025, KB5068861 (compilaciones del SO 26200.7171 y 26100.7171) o actualizaciones posteriores.
Estas actualizaciones agregaron compatibilidad para configurar un PIN para claves de seguridad si aún no estaba configurado, al establecer "userVerification" en "preferred" en PublicKeyCredentialRequestOptions en el flujo de autenticación de WebAuthn.
Origen
Verificación de usuario (UV) confirma que el usuario está presente y autorizado a utilizar una clave de seguridad, normalmente a través de un PIN o biométrico. La verificación de usuario se puede establecer en Discouraged, Preferredo Required.
User Verification = Preferred significa que el RP quiere la verificación del usuario si el autenticador es capaz de hacerlo. Esto significa que, si es necesario configurar un PIN, la plataforma debe hacerlo.
User Verification = Discouraged significa que el RP no desea la verificación del usuario. Si no se ha configurado un PIN, no es necesario hacerlo (a menos que lo requiera la configuración del autenticador).
Se ha agregado compatibilidad con la configuración del PIN en el flujo de autenticación para que sea coherente tanto en los flujos de registro como en los de autenticación.
Nuevos pasos
Si el usuario de confianza no desea la verificación del usuario y no desea que los usuarios creen ni escriban un PIN para las claves de seguridad, deben establecer "userVerification" en "discouraged" en PublicKeyCredentialRequestOptions.
