Data de publicação original: 25 de novembro de 2025
ID da BDC: 5073129
Experiência atualizada
Depois de instalar a atualização do Windows, 29 de setembro de 2025 — KB5065789 (Compilações 26200.6725 e 26100.6725 do SO) Pré-visualização ou atualizações posteriores, poderá ser necessário criar um PIN para iniciar sessão com uma chave de segurança, mesmo que não tenha sido necessário ou definido um PIN durante o registo inicial.
Este comportamento ocorrerá quando uma Entidade Confiadora (RP) ou Fornecedor de Identidade (IDP) pedir User Verification = Preferred durante a autenticação com uma chave de segurança Fast IDentity Online 2 (FIDO2) que não tem um PIN definido.
Causa
Este é o comportamento pretendido, implementado para permanecer em conformidade com as especificações webAuthn.
O suporte para este comportamento começou gradualmente a ser lançado para Windows 11 dispositivos após a instalação da atualização de pré-visualização (KB5065789) de 29 de setembro de 2025. A implementação foi concluída em clientes Windows 11 após a instalação da atualização de segurança do Windows, a 11 de novembro de 2025 — KB5068861 (Compilações 26200.7171 e 26100.7171 do SO) ou atualizações posteriores.
Estas atualizações adicionaram suporte para configurar um PIN para chaves de segurança se ainda não tiver sido configurado, quando as Entidades Confiadoras (RP) definiram "userVerification" como "preferencial" em PublicKeyCredentialRequestOptions no fluxo de autenticação WebAuthn.
Contexto
A Verificação do Utilizador (UV) confirma que o utilizador está presente e autorizado a utilizar uma chave de segurança, normalmente através de um PIN ou biométrico. A Verificação do Utilizador pode ser definida como Discouraged, Preferredou Required.
User Verification = Preferred significa que o RP quer que o utilizador verifique se o autenticador é capaz de o fazer. Isto significa que, se for necessário configurar um PIN, a plataforma deverá fazê-lo.
User Verification = Discouraged significa que o RP não quer a verificação do utilizador. Se não tiver sido configurado um PIN, não é necessário fazê-lo (a menos que seja necessário pela configuração do autenticador).
O suporte para a configuração do PIN no fluxo de autenticação foi adicionado para ser consistente nos fluxos de registo e autenticação.
Novos passos
Se a Entidade Confiadora não quiser a verificação do utilizador e não quiser que os utilizadores criem ou introduzam um PIN para chaves de segurança, devem definir "userVerification" como "desencorajado" em PublicKeyCredentialRequestOptions.
