#1 te vergelijken met een ijzersterk (zeer lang, random - dus niet te raden, en wereldwijd uniek) wachtwoord. Onjuist het is een challenge/response systeem welke password-sniffers, keylogging en MITM elimineerd. #2 Voor elk website-account waarvoor u een passkey toevoegt, wordt bij die passkey o.a. de domeinnaam (zoals www.security.nl) van de betreffende website opgeslagen (naast aanvullende gegevens zodat u kunt kiezen indien u meer dan één account op één website hebt). Onjuist, dan zou ik voor Google al oneindig veel domeinen moeten hebben. En ik wed dat als dit er niet was, dat je zou klagen dat het er niet was. #4 https vereist en domeinnaam MOET kloppen Ik gebruik passkeys op SSH op IP. Dat doe ik geheel in koele bloede, en dus zonder HTTPS en zonder domeinnaam. #5 U mag er zelf niet meer bij Compleet onzin. Probeer eens Nitrokey en Solokeys. Tenzij je verwachting is dat die jou tot root SSL CA zullen kronen. Blijf realistisch. #6 Veel werkt nog niet Hetgeen eeuwig zo zal blijven. Net als HTML5 ...