passkeys-directory

一个开放的、由社区维护的网站目录，这些网站支持passkeys，用于无密码登录和/或作为第二因素认证。该目录没有全球排名上限，覆盖约前100万个网站，包括仅在单个国家流行的网站。数据集以JSON格式提供，包含每个域名的passkeys支持信息（如无密码登录、多因素认证等）。An open, community-maintained web directory of websites that support passkeys for passwordless login and/or as a second-factor authentication method. The directory has no upper limit on global website rankings, covering approximately the top 1 million websites including those only popular in a single country. The dataset is provided in JSON format, containing passkeys support information for each domain name, such as passwordless login, multi-factor authentication, and other related scenarios.

原始信息汇总

数据集概述：Passkeys Directory

核心内容
这是一个由社区维护的开源目录，收录支持 通行密钥（passkeys） 的网站，涵盖无密码登录和/或作为第二因素（MFA）的场景。

覆盖范围

• 无全球排名上限限制，范围包括全球排名约 前 1,000,000 的网站。
• 特别收录仅在单一国家内流行的本地化主导网站（如国家银行、区域电信、税务门户），这些网站通常被全球排名上限的目录忽略。
• 数据源为纯文本文件，旨在为 whynopasskeys.com 等外部服务提供支持。

数据格式

• 用户可通过以下 URL 获取编译后的完整数据（JSON 格式）：
  https://raw.githubusercontent.com/ScottHelme/passkeys-directory/main/data/passkeys.json

• JSON 对象以可注册域名为键，每个条目的结构示例： json { "paypal.com": { "passwordless": true, "mfa": false, "documentation": "https://…" }, "google.com": { "passwordless": true, "mfa": false } }

  • passwordless：是否支持无密码登录。
  • mfa：是否支持作为第二因素。
  • documentation（可选）：网站通行密钥设置文档链接。

• 此数据结构与 2factorauth 的 supported.json 兼容，现有消费者可直接切换 URL 使用。

数据来源与许可

• 初始数据来源于：
  • 2factorauth/passkeys（CC-BY-4.0 许可）
  • Dashlane/passkeys-resources（MIT 许可）
• 未从 Bitwarden 或 1Password 的目录中提取数据（因其未发布可复用许可）。
• 本数据集采用 CC-BY-4.0 许可发布，允许他人复用（需注明出处），且可将修正内容贡献回上游。

数据维护与贡献

• 提交新网站：请使用 GitHub Issues 中的模板（Add a site 或 Correct a site），而非直接提交拉取请求（PR）。维护者会验证每个建议（检查实时登录流程）后再录入。
• 提供网站自身的通行密钥文档链接可加速验证。

仓库结构

entries/<首字符>/<域名>.json 每个网站一个文件（真实源数据） data/passkeys.json 编译后的可消费数据（自动生成） schema.json JSON Schema 文件 build/import-seed.js 一次性导入开放许可目录的脚本 build/compile.js 将 entries/ 编译为 data/passkeys.json

• 修改 entries 后，可通过 npm run build 命令重新编译数据。

搜集汇总

数据集介绍

构建方式

Passkeys Directory是一个由社区维护的开源数据集，专注于收录全球范围内支持通行密钥（passkeys）技术的网站。该数据集通过多源数据融合构建而成，初始种子数据来源于2factorauth和Dashlane等公开许可的目录，并经由严格的社群贡献机制持续扩充。用户通过GitHub Issue提交网站建议后，维护者会逐一验证实际登录流程，确保每条记录的真实性。所有原始数据以单站点JSON文件形式存储于entries目录下，最终通过编译脚本汇总为可供直接消费的JSON馈送文件。

特点

该数据集的核心特色在于其无全球排名上限的收录策略，覆盖范围广泛涵盖Alexa前100万以内的网站，特别聚焦于那些对国家层面用户至关重要的本地化服务，如银行、电信运营商及税务门户等。数据条目通过passwordless和mfa两个布尔字段清晰区分通行密钥在无密码登录与多因素认证场景下的支持情况，并可选提供官方文档链接。其数据结构与2factorauth项目的supported.json保持兼容，便于现有消费者无缝切换，同时采用CC-BY-4.0许可协议促进数据复用与回馈。

使用方法

使用者可通过固定URL直接获取编译后的JSON数据馈送，地址为https://raw.githubusercontent.com/ScottHelme/passkeys-directory/main/data/passkeys.json。该馈送以可注册域名为键组织，每个条目包含passwordless、mfa及可选的documentation字段。开发者可将此数据源集成至网站兼容性查询工具或安全研究项目中，无需处理原始文件结构。对于希望贡献数据的用户，应通过GitHub Issue模板提交网站建议，而非直接发起拉取请求，以确保每条记录经过维护者验证后正式入库。

背景与挑战

背景概述

在数字化身份认证领域，密码长期作为主要验证手段，却频繁暴露于安全漏洞与用户体验瓶颈之下。无密码认证技术（如通行密钥）的兴起，旨在通过公私钥加密机制替代传统密码，提升安全性与便捷性。然而，全球范围内通行密钥的采用情况缺乏系统化追踪，尤其本地化服务（如国家银行、税务门户）的支持状态常被主流目录所忽略。为此，Scott Helme等人于近期创建了通行密钥目录，作为一个开源、社区维护的数据集，聚焦于全球前100万网站，覆盖广泛地区的通行密钥部署现状，为研究人员、开发者和安全从业者提供关键参考。该数据集通过结构化JSON格式呈现，集成自2factorauth与Dashlane等合规来源，以CC-BY-4.0许可发布，推动了无密码技术生态的透明度与可访问性，对身份验证领域的标准化研究具有重要影响力。

当前挑战

该数据集所解决的领域问题核心在于，传统密码体系面临的安全威胁（如撞库、钓鱼攻击）以及用户体验的割裂，亟需一种标准化、可验证的通行密钥支持清单来指导迁移。然而，构建过程中面临多重挑战：首先，覆盖全球长尾网站（如地区性银行、政府门户）的验证需人工审查实际登录流程，确保数据准确性，这导致资源密集与延迟。其次，数据来源合规性复杂，如Bitwarden和1Password因未发布可复用许可证而无法整合，限制了完整性。此外，社区驱动维护依赖用户提交的正确信息，但缺乏实时自动化验证机制，可能引发过时或错误条目。最后，保持与2factorauth等上游目录的兼容性，同时处理不同数据结构间的转换，增加了技术协调难度，需持续迭代编译脚本以确保数据的连贯性。

常用场景

经典使用场景

在密码学与身份认证研究的交叉领域中，Passkeys Directory被广泛用作评估无密码认证技术采纳率的核心基准数据库。研究者通过解析其JSON格式的网站级数据，能够量化分析全球前一百万热门站点中密码密钥（WebAuthn凭证）的实际部署情况，尤其聚焦于那些被全球排名截断目录所忽略的地区性关键服务，如国家银行、区域电信运营商及政府税务门户。该数据集以注册域名为粒度，明确标注了网站是否支持无密码登录（passwordless）以及是否将密码密钥作为多因素认证的第二因子（mfa），从而为跨地域、跨行业的密码替代方案演进研究提供了可复现的实证基础。

实际应用

在产业实践中，该数据集直接赋能安全合规审计与零信任架构迁移规划。企业安全团队可将其作为第三方评估工具，快速识别合作伙伴网站是否已启用无密码登录或硬件绑定密钥的多因素认证，从而优化自身供应链的身份安全基线。密码管理器与身份提供商（如Dashlane、Bitwarden）可基于此数据优化用户引导体验，在客户端自动高亮支持密码密钥的登录页面。此外，区域性的监管机构可利用其中收录的本地银行与税务平台条目，监测其遵循NIST SP 800-63数字身份指南中无密码认证建议的进度，驱动面向公民服务的认证现代化决策。

衍生相关工作

该数据集已衍生出多个具有影响力的学术与工程后续工作。最直接的是其驱动的可视化网站WhyNoPasskeys.com，将数据转化为交互式仪表盘以供实时采纳率追踪。在学术层面，研究者以其为基础构建了密码密钥采纳的时空演化模型，结合CrUX（Chrome用户体验报告）的流量数据，推出了区分“被动支持”与“主动推广”的复合采纳指标。安全顶会论文中出现了利用该数据集进行WebAuthn部署失败模式分析的工作，通过关联documentation链接的存活率与网站TLS配置，揭示了实际落地中的证书链滥用风险。此外，有工程团队基于其JSON Schema开发了自动化验证流水线，将手册验证流程升级为半自动网络爬虫，显著降低了社区维护的长尾成本。