@aurabase/auth 0.6.2 → 0.7.1

package/dist/index.d.cts

@@ -1,5 +1,46 @@
-import { BaseService, AuraResponse, AdminUser, AdminCreateUserRequest, AdminUpdateUserRequest, GenerateLinkType, GenerateLinkResult, UserStats, IdentityInfo, AdminSessionInfo, AuditLogEntry, AuthSettings, AuthSettingsUpdate, EmailTemplateUpdate, AuraClientLike, AuthChangePayload, SignUpRequest, LoginResponse, SignInRequest, OAuthSignInOptions, OAuthSignInObjectOptions, MagicLinkRequest, TokenPair, Session, User, SessionInfo, GetClaimsResult, UpdateUserRequest, PasswordResetRequest, MfaEnrollResponse, MfaVerifyRequest, MfaChallenge } from '@aurabase/core';
+import { BaseService, AuraResponse, AdminUser, AdminCreateUserRequest, AdminUpdateUserRequest, GenerateLinkType, GenerateLinkResult, UserStats, IdentityInfo, AdminSessionInfo, AuditLogEntry, AuthSettings, AuthSettingsUpdate, EmailTemplateUpdate, AuraClientLike, AuthChangePayload, SignUpRequest, LoginResponse, SignInRequest, OAuthSignInOptions, OAuthSignInObjectOptions, MagicLinkRequest, TokenPair, Session, User, SessionInfo, GetClaimsResult, UpdateUserRequest, PasswordResetRequest, MfaEnrollResponse, MfaVerifyRequest, MfaFactorType, PasskeyRegisterResult, PasskeyInfo, MfaChallenge } from '@aurabase/core';
 
+interface ImpersonationResult {
+    access_token: string;
+    token_type: 'Bearer';
+    expires_in: number;
+    act: {
+        sub: string;
+    };
+    user: AdminUser;
+}
+interface ImportUserInput {
+    email: string;
+    emailVerified?: boolean;
+    /** bcrypt (`$2a$`, `$2b$`, `$2y$`) or argon2id hash of the original password. */
+    passwordHash?: string;
+    name?: string;
+    userMetadata?: Record<string, unknown>;
+    appMetadata?: Record<string, unknown>;
+}
+interface ImportUsersReport {
+    created: number;
+    skipped: number;
+    errors: number;
+    report: Array<{
+        index: number;
+        email: string;
+        status: 'created' | 'skipped' | 'error';
+        id?: string;
+        error?: string;
+    }>;
+}
+interface SigningKeysInfo {
+    jwks_url: string;
+    issuer: string | null;
+    keys: Array<{
+        kid: string;
+        status: 'active' | 'previous';
+        issuer: string;
+        created_at: string;
+        jwk: Record<string, unknown>;
+    }>;
+}
 declare class AuthAdminService extends BaseService {
     /**
      * Préfixe des routes de ce service. Aucun identifiant de projet : il est injecté par
@@ -31,8 +72,38 @@ declare class AuthAdminService extends BaseService {
     unbanUser(userId: string): Promise<AuraResponse<null>>;
     /**
      * Génère un lien à usage unique pour un utilisateur (`'magic'`, `'recovery'` ou `'invite'`) et renvoie `{ link, token }`.
+     * Accepte soit `generateLink(userId, type)` soit `generateLink({ userId, type })`.
      */
-    generateLink(userId: string, type: GenerateLinkType): Promise<AuraResponse<GenerateLinkResult>>;
+    generateLink(userIdOrParams: string | {
+        userId?: string;
+        user_id?: string;
+        type: GenerateLinkType;
+    }, type?: GenerateLinkType): Promise<AuraResponse<GenerateLinkResult>>;
+    /**
+     * Impersonation (AUTH-037) : jeton COURT (10 minutes au plus) pour agir en tant que l'utilisateur,
+     * avec le claim `act: { sub }`. Pas de refresh token, journalisé (`admin_impersonation`).
+     * Un compte `owner`/`admin` exige `allowPrivileged: true` ET une `reason`.
+     */
+    impersonate(userId: string, options?: {
+        reason?: string;
+        ttlSeconds?: number;
+        allowPrivileged?: boolean;
+    }): Promise<AuraResponse<ImpersonationResult>>;
+    /**
+     * Import en masse (AUTH-037) : jusqu'a 1000 utilisateurs par appel, avec hash bcrypt ou argon2id.
+     * Rapport ligne par ligne ; une ligne en erreur n'arrete pas les autres.
+     */
+    importUsers(users: ImportUserInput[]): Promise<AuraResponse<ImportUsersReport>>;
+    /** Cles de signature du projet (active + previous), URL du JWKS et emetteur (`iss`). */
+    listSigningKeys(): Promise<AuraResponse<SigningKeysInfo>>;
+    /** Rotation : une nouvelle cle signe les nouveaux jetons, l'ancienne reste publiee 24 h. */
+    rotateSigningKey(): Promise<AuraResponse<{
+        kid: string;
+    }>>;
+    /** Revoque une ancienne cle compromise (retiree du JWKS, jetons refuses). */
+    revokeSigningKey(kid: string): Promise<AuraResponse<{
+        revoked: string;
+    }>>;
     /**
      * Statistiques des utilisateurs : total, vérifiés, bannis, avec MFA et nouveaux sur 7 jours.
      */
@@ -170,6 +241,8 @@ interface AuthServiceOptions {
      * `true` en navigateur, no-op hors navigateur. Voir `_detectSessionInUrl`.
      */
     detectSessionInUrl?: boolean;
+    /** AUTH-015 — flux OAuth par défaut (option `auth.flowType` de `createClient`). */
+    flowType?: 'pkce' | 'implicit';
 }
 /**
  * Garde de type discriminant `LoginResponse = TokenPair | MfaChallenge` (LOT 3, 3.4).
@@ -178,12 +251,30 @@ interface AuthServiceOptions {
  * la même vérification structurelle (`mfa_required === true`).
  */
 declare function isMfaChallenge(v: unknown): v is MfaChallenge;
+/** Paramètres de `auth.mfa.webauthn.register`. */
+interface WebAuthnRegisterParams {
+    /** Nom affiché dans la liste des facteurs (« MacBook Touch ID »). */
+    friendlyName?: string;
+    /** Conteneur de credentials à utiliser à la place de `navigator.credentials` (tests, WebView). */
+    credentials?: Pick<CredentialsContainer, 'create' | 'get'>;
+}
+/** Paramètres de `auth.mfa.webauthn.verify`. */
+interface WebAuthnVerifyParams {
+    /** `mfaToken` du défi renvoyé par `signIn`. */
+    mfaToken: string;
+    credentials?: Pick<CredentialsContainer, 'create' | 'get'>;
+}
 declare class AuthService extends BaseService {
     private _stateListeners;
     private _sessionManager;
     private _applyingRemote;
+    /** AUTH-011 — séquence des effacements de session et dernier effacement annoncé par SIGNED_OUT. */
+    private _clearSeq;
+    private _signedOutSeq;
     private _unsubStore;
     private _disposed;
+    /** AUTH-015 — flux OAuth par défaut du client. */
+    private readonly _defaultFlowType;
     constructor(client: AuraClientLike, options?: AuthServiceOptions);
     /**
      * Détecte et consomme une session présente dans l'URL courante au boot (callback
@@ -321,20 +412,15 @@ declare class AuthService extends BaseService {
      */
     refreshSession(): Promise<AuraResponse<TokenPair>>;
     /**
-     * Session courante lue depuis le store (synchrone en pratique, pas d'appel réseau).
-     *
-     * DOUBLE COMPATIBILITÉ DX (Parité Supabase & compatibilité existante Aurabase) :
-     * - Permet `const { data: { session }, error } = await aura.auth.getSession()` (forme canonique)
-     * - Permet `const { accessToken, user } = await aura.auth.getSession()` (forme plate historique)
+     * Session courante lue depuis le store (pas d'appel réseau). Forme unique (AUTH-019) :
+     * `const { data: { session } } = await aura.auth.getSession()`.
+     * Côté serveur, cette session n'est PAS vérifiée : autorisez avec `getUser()` (AUTH-004).
      */
     getSession(): Promise<{
         data: {
             session: Session | null;
         };
         error: null;
-        accessToken: string | null;
-        access_token: string | null;
-        user: User | null;
     }>;
     /**
      * Installe une session à partir d'un jeton d'accès et d'un jeton de rafraîchissement existants (par exemple reçus d'un serveur).
@@ -455,7 +541,51 @@ declare class AuthService extends BaseService {
         }) => Promise<AuraResponse<{
             recovery_codes: string[];
         }>>;
+        /** Facteurs utilisables pour relever le défi `mfaToken` (`totp`, `webauthn`, `sms`). */
+        factors: (mfaToken: string) => Promise<AuraResponse<{
+            factors: MfaFactorType[];
+        }>>;
+        /** SMS comme second facteur : enrôlement d'un numéro, envoi du code de login, retrait. */
+        sms: {
+            setup: (phone: string) => Promise<AuraResponse<{
+                message: string;
+            }>>;
+            verifySetup: (code: string) => Promise<AuraResponse<{
+                recovery_codes?: string[];
+            }>>;
+            send: (mfaToken: string) => Promise<AuraResponse<{
+                message: string;
+                phone_hint: string;
+            }>>;
+            remove: (password: string) => Promise<AuraResponse<{
+                message: string;
+                mfa_enabled: boolean;
+            }>>;
+        };
+        /** Passkeys WebAuthn : enrôlement, vérification du défi de login, liste, suppression. */
+        webauthn: {
+            register: (params?: WebAuthnRegisterParams) => Promise<AuraResponse<PasskeyRegisterResult>>;
+            verify: (params: WebAuthnVerifyParams) => Promise<AuraResponse<TokenPair>>;
+            list: () => Promise<AuraResponse<PasskeyInfo[]>>;
+            remove: (id: string, password: string) => Promise<AuraResponse<{
+                message: string;
+                mfa_enabled: boolean;
+            }>>;
+        };
     };
+    private webauthnIndisponible;
+    /**
+     * Enrôle une passkey WebAuthn pour l'utilisateur connecté (cérémonie complète : options du serveur,
+     * `navigator.credentials.create`, confirmation). Le premier facteur du compte active le MFA et
+     * renvoie les codes de récupération (`recovery_codes`) — à afficher une seule fois.
+     */
+    private webauthnRegister;
+    /**
+     * Relève un défi MFA (`mfaToken`, reçu d'un `signIn`) avec une passkey : options du serveur,
+     * `navigator.credentials.get`, vérification. Enregistre la session et émet `SIGNED_IN`.
+     */
+    private webauthnVerify;
+    private webauthnAnnule;
     /** MFA : démarre l'enrôlement TOTP et renvoie le `secret` et l'URL `otpauth_url` à afficher en QR code. */
     mfaEnroll(): Promise<AuraResponse<MfaEnrollResponse>>;
     /** MFA : confirme l'enrôlement avec un premier code et renvoie les codes de récupération. */
@@ -546,10 +676,6 @@ declare class AuthService extends BaseService {
         mailer_autoconfirm: boolean;
         mfa_enabled: boolean;
     }>>;
-    /** Clé publiable (anon key) du projet — GET /anon-key (public, à l'image du modèle Supabase). */
-    getAnonKey(): Promise<AuraResponse<{
-        anon_key: string;
-    }>>;
     /**
      * Consomme le token de récupération de mot de passe et applique le nouveau mot de passe.
      * Body confirmé au handler (`ResetPasswordRequest` — services/aura-auth/src/handlers/auth.rs) :
@@ -600,4 +726,49 @@ declare class SessionManager {
     private _stopInterval;
 }
 
-export { AuthAdminService, AuthService, type EmailOtpType, type MobileOtpType, SessionManager, type SessionManagerOptions, type VerifyEmailChangeOtpParams, type VerifyEmailOtpParams, type VerifyMagiclinkOtpParams, type VerifyOtpParams, type VerifyRecoveryOtpParams, type VerifySignupOtpParams, type VerifySmsOtpParams, isMfaChallenge };
+/**
+ * AUTH-021 — passkeys WebAuthn : conversions entre le JSON du serveur (champs binaires en
+ * base64url) et les objets natifs de `navigator.credentials`.
+ *
+ * Ces fonctions sont pures et exportées pour les applications qui pilotent la cérémonie
+ * elles-mêmes (React Native, extension, test) ; `auth.mfa.webauthn.register/verify` les enchaîne
+ * pour le cas courant du navigateur.
+ */
+/** base64url (sans remplissage) → octets. */
+declare function base64urlToBytes(valeur: string): Uint8Array<ArrayBuffer>;
+/** octets → base64url (sans remplissage). */
+declare function bytesToBase64url(octets: ArrayBuffer | ArrayBufferView): string;
+interface DescripteurJson {
+    id: string;
+    type: string;
+    transports?: string[];
+}
+/** Options de création telles que renvoyées par `mfa/webauthn/register/start`. */
+interface WebAuthnCreationOptionsJson {
+    publicKey: Record<string, unknown> & {
+        challenge: string;
+        user: {
+            id: string;
+            name: string;
+            displayName: string;
+        };
+        excludeCredentials?: DescripteurJson[];
+    };
+}
+/** Options d'assertion telles que renvoyées par `mfa/webauthn/verify/start`. */
+interface WebAuthnRequestOptionsJson {
+    publicKey: Record<string, unknown> & {
+        challenge: string;
+        allowCredentials?: DescripteurJson[];
+    };
+}
+/** Convertit les options de création du serveur en `CredentialCreationOptions` natives. */
+declare function creationOptionsFromJson(json: WebAuthnCreationOptionsJson): CredentialCreationOptions;
+/** Convertit les options d'assertion du serveur en `CredentialRequestOptions` natives. */
+declare function requestOptionsFromJson(json: WebAuthnRequestOptionsJson): CredentialRequestOptions;
+/** Sérialise la réponse de `credentials.create()` au format attendu par `register/finish`. */
+declare function attestationToJson(cred: PublicKeyCredential): Record<string, unknown>;
+/** Sérialise la réponse de `credentials.get()` au format attendu par `verify/finish`. */
+declare function assertionToJson(cred: PublicKeyCredential): Record<string, unknown>;
+
+export { AuthAdminService, AuthService, type EmailOtpType, type ImpersonationResult, type ImportUserInput, type ImportUsersReport, type MobileOtpType, SessionManager, type SessionManagerOptions, type SigningKeysInfo, type VerifyEmailChangeOtpParams, type VerifyEmailOtpParams, type VerifyMagiclinkOtpParams, type VerifyOtpParams, type VerifyRecoveryOtpParams, type VerifySignupOtpParams, type VerifySmsOtpParams, type WebAuthnCreationOptionsJson, type WebAuthnRegisterParams, type WebAuthnRequestOptionsJson, type WebAuthnVerifyParams, assertionToJson, attestationToJson, base64urlToBytes, bytesToBase64url, creationOptionsFromJson, isMfaChallenge, requestOptionsFromJson };

package/dist/index.d.ts

@@ -1,5 +1,46 @@
-import { BaseService, AuraResponse, AdminUser, AdminCreateUserRequest, AdminUpdateUserRequest, GenerateLinkType, GenerateLinkResult, UserStats, IdentityInfo, AdminSessionInfo, AuditLogEntry, AuthSettings, AuthSettingsUpdate, EmailTemplateUpdate, AuraClientLike, AuthChangePayload, SignUpRequest, LoginResponse, SignInRequest, OAuthSignInOptions, OAuthSignInObjectOptions, MagicLinkRequest, TokenPair, Session, User, SessionInfo, GetClaimsResult, UpdateUserRequest, PasswordResetRequest, MfaEnrollResponse, MfaVerifyRequest, MfaChallenge } from '@aurabase/core';
+import { BaseService, AuraResponse, AdminUser, AdminCreateUserRequest, AdminUpdateUserRequest, GenerateLinkType, GenerateLinkResult, UserStats, IdentityInfo, AdminSessionInfo, AuditLogEntry, AuthSettings, AuthSettingsUpdate, EmailTemplateUpdate, AuraClientLike, AuthChangePayload, SignUpRequest, LoginResponse, SignInRequest, OAuthSignInOptions, OAuthSignInObjectOptions, MagicLinkRequest, TokenPair, Session, User, SessionInfo, GetClaimsResult, UpdateUserRequest, PasswordResetRequest, MfaEnrollResponse, MfaVerifyRequest, MfaFactorType, PasskeyRegisterResult, PasskeyInfo, MfaChallenge } from '@aurabase/core';
 
+interface ImpersonationResult {
+    access_token: string;
+    token_type: 'Bearer';
+    expires_in: number;
+    act: {
+        sub: string;
+    };
+    user: AdminUser;
+}
+interface ImportUserInput {
+    email: string;
+    emailVerified?: boolean;
+    /** bcrypt (`$2a$`, `$2b$`, `$2y$`) or argon2id hash of the original password. */
+    passwordHash?: string;
+    name?: string;
+    userMetadata?: Record<string, unknown>;
+    appMetadata?: Record<string, unknown>;
+}
+interface ImportUsersReport {
+    created: number;
+    skipped: number;
+    errors: number;
+    report: Array<{
+        index: number;
+        email: string;
+        status: 'created' | 'skipped' | 'error';
+        id?: string;
+        error?: string;
+    }>;
+}
+interface SigningKeysInfo {
+    jwks_url: string;
+    issuer: string | null;
+    keys: Array<{
+        kid: string;
+        status: 'active' | 'previous';
+        issuer: string;
+        created_at: string;
+        jwk: Record<string, unknown>;
+    }>;
+}
 declare class AuthAdminService extends BaseService {
     /**
      * Préfixe des routes de ce service. Aucun identifiant de projet : il est injecté par
@@ -31,8 +72,38 @@ declare class AuthAdminService extends BaseService {
     unbanUser(userId: string): Promise<AuraResponse<null>>;
     /**
      * Génère un lien à usage unique pour un utilisateur (`'magic'`, `'recovery'` ou `'invite'`) et renvoie `{ link, token }`.
+     * Accepte soit `generateLink(userId, type)` soit `generateLink({ userId, type })`.
      */
-    generateLink(userId: string, type: GenerateLinkType): Promise<AuraResponse<GenerateLinkResult>>;
+    generateLink(userIdOrParams: string | {
+        userId?: string;
+        user_id?: string;
+        type: GenerateLinkType;
+    }, type?: GenerateLinkType): Promise<AuraResponse<GenerateLinkResult>>;
+    /**
+     * Impersonation (AUTH-037) : jeton COURT (10 minutes au plus) pour agir en tant que l'utilisateur,
+     * avec le claim `act: { sub }`. Pas de refresh token, journalisé (`admin_impersonation`).
+     * Un compte `owner`/`admin` exige `allowPrivileged: true` ET une `reason`.
+     */
+    impersonate(userId: string, options?: {
+        reason?: string;
+        ttlSeconds?: number;
+        allowPrivileged?: boolean;
+    }): Promise<AuraResponse<ImpersonationResult>>;
+    /**
+     * Import en masse (AUTH-037) : jusqu'a 1000 utilisateurs par appel, avec hash bcrypt ou argon2id.
+     * Rapport ligne par ligne ; une ligne en erreur n'arrete pas les autres.
+     */
+    importUsers(users: ImportUserInput[]): Promise<AuraResponse<ImportUsersReport>>;
+    /** Cles de signature du projet (active + previous), URL du JWKS et emetteur (`iss`). */
+    listSigningKeys(): Promise<AuraResponse<SigningKeysInfo>>;
+    /** Rotation : une nouvelle cle signe les nouveaux jetons, l'ancienne reste publiee 24 h. */
+    rotateSigningKey(): Promise<AuraResponse<{
+        kid: string;
+    }>>;
+    /** Revoque une ancienne cle compromise (retiree du JWKS, jetons refuses). */
+    revokeSigningKey(kid: string): Promise<AuraResponse<{
+        revoked: string;
+    }>>;
     /**
      * Statistiques des utilisateurs : total, vérifiés, bannis, avec MFA et nouveaux sur 7 jours.
      */
@@ -170,6 +241,8 @@ interface AuthServiceOptions {
      * `true` en navigateur, no-op hors navigateur. Voir `_detectSessionInUrl`.
      */
     detectSessionInUrl?: boolean;
+    /** AUTH-015 — flux OAuth par défaut (option `auth.flowType` de `createClient`). */
+    flowType?: 'pkce' | 'implicit';
 }
 /**
  * Garde de type discriminant `LoginResponse = TokenPair | MfaChallenge` (LOT 3, 3.4).
@@ -178,12 +251,30 @@ interface AuthServiceOptions {
  * la même vérification structurelle (`mfa_required === true`).
  */
 declare function isMfaChallenge(v: unknown): v is MfaChallenge;
+/** Paramètres de `auth.mfa.webauthn.register`. */
+interface WebAuthnRegisterParams {
+    /** Nom affiché dans la liste des facteurs (« MacBook Touch ID »). */
+    friendlyName?: string;
+    /** Conteneur de credentials à utiliser à la place de `navigator.credentials` (tests, WebView). */
+    credentials?: Pick<CredentialsContainer, 'create' | 'get'>;
+}
+/** Paramètres de `auth.mfa.webauthn.verify`. */
+interface WebAuthnVerifyParams {
+    /** `mfaToken` du défi renvoyé par `signIn`. */
+    mfaToken: string;
+    credentials?: Pick<CredentialsContainer, 'create' | 'get'>;
+}
 declare class AuthService extends BaseService {
     private _stateListeners;
     private _sessionManager;
     private _applyingRemote;
+    /** AUTH-011 — séquence des effacements de session et dernier effacement annoncé par SIGNED_OUT. */
+    private _clearSeq;
+    private _signedOutSeq;
     private _unsubStore;
     private _disposed;
+    /** AUTH-015 — flux OAuth par défaut du client. */
+    private readonly _defaultFlowType;
     constructor(client: AuraClientLike, options?: AuthServiceOptions);
     /**
      * Détecte et consomme une session présente dans l'URL courante au boot (callback
@@ -321,20 +412,15 @@ declare class AuthService extends BaseService {
      */
     refreshSession(): Promise<AuraResponse<TokenPair>>;
     /**
-     * Session courante lue depuis le store (synchrone en pratique, pas d'appel réseau).
-     *
-     * DOUBLE COMPATIBILITÉ DX (Parité Supabase & compatibilité existante Aurabase) :
-     * - Permet `const { data: { session }, error } = await aura.auth.getSession()` (forme canonique)
-     * - Permet `const { accessToken, user } = await aura.auth.getSession()` (forme plate historique)
+     * Session courante lue depuis le store (pas d'appel réseau). Forme unique (AUTH-019) :
+     * `const { data: { session } } = await aura.auth.getSession()`.
+     * Côté serveur, cette session n'est PAS vérifiée : autorisez avec `getUser()` (AUTH-004).
      */
     getSession(): Promise<{
         data: {
             session: Session | null;
         };
         error: null;
-        accessToken: string | null;
-        access_token: string | null;
-        user: User | null;
     }>;
     /**
      * Installe une session à partir d'un jeton d'accès et d'un jeton de rafraîchissement existants (par exemple reçus d'un serveur).
@@ -455,7 +541,51 @@ declare class AuthService extends BaseService {
         }) => Promise<AuraResponse<{
             recovery_codes: string[];
         }>>;
+        /** Facteurs utilisables pour relever le défi `mfaToken` (`totp`, `webauthn`, `sms`). */
+        factors: (mfaToken: string) => Promise<AuraResponse<{
+            factors: MfaFactorType[];
+        }>>;
+        /** SMS comme second facteur : enrôlement d'un numéro, envoi du code de login, retrait. */
+        sms: {
+            setup: (phone: string) => Promise<AuraResponse<{
+                message: string;
+            }>>;
+            verifySetup: (code: string) => Promise<AuraResponse<{
+                recovery_codes?: string[];
+            }>>;
+            send: (mfaToken: string) => Promise<AuraResponse<{
+                message: string;
+                phone_hint: string;
+            }>>;
+            remove: (password: string) => Promise<AuraResponse<{
+                message: string;
+                mfa_enabled: boolean;
+            }>>;
+        };
+        /** Passkeys WebAuthn : enrôlement, vérification du défi de login, liste, suppression. */
+        webauthn: {
+            register: (params?: WebAuthnRegisterParams) => Promise<AuraResponse<PasskeyRegisterResult>>;
+            verify: (params: WebAuthnVerifyParams) => Promise<AuraResponse<TokenPair>>;
+            list: () => Promise<AuraResponse<PasskeyInfo[]>>;
+            remove: (id: string, password: string) => Promise<AuraResponse<{
+                message: string;
+                mfa_enabled: boolean;
+            }>>;
+        };
     };
+    private webauthnIndisponible;
+    /**
+     * Enrôle une passkey WebAuthn pour l'utilisateur connecté (cérémonie complète : options du serveur,
+     * `navigator.credentials.create`, confirmation). Le premier facteur du compte active le MFA et
+     * renvoie les codes de récupération (`recovery_codes`) — à afficher une seule fois.
+     */
+    private webauthnRegister;
+    /**
+     * Relève un défi MFA (`mfaToken`, reçu d'un `signIn`) avec une passkey : options du serveur,
+     * `navigator.credentials.get`, vérification. Enregistre la session et émet `SIGNED_IN`.
+     */
+    private webauthnVerify;
+    private webauthnAnnule;
     /** MFA : démarre l'enrôlement TOTP et renvoie le `secret` et l'URL `otpauth_url` à afficher en QR code. */
     mfaEnroll(): Promise<AuraResponse<MfaEnrollResponse>>;
     /** MFA : confirme l'enrôlement avec un premier code et renvoie les codes de récupération. */
@@ -546,10 +676,6 @@ declare class AuthService extends BaseService {
         mailer_autoconfirm: boolean;
         mfa_enabled: boolean;
     }>>;
-    /** Clé publiable (anon key) du projet — GET /anon-key (public, à l'image du modèle Supabase). */
-    getAnonKey(): Promise<AuraResponse<{
-        anon_key: string;
-    }>>;
     /**
      * Consomme le token de récupération de mot de passe et applique le nouveau mot de passe.
      * Body confirmé au handler (`ResetPasswordRequest` — services/aura-auth/src/handlers/auth.rs) :
@@ -600,4 +726,49 @@ declare class SessionManager {
     private _stopInterval;
 }
 
-export { AuthAdminService, AuthService, type EmailOtpType, type MobileOtpType, SessionManager, type SessionManagerOptions, type VerifyEmailChangeOtpParams, type VerifyEmailOtpParams, type VerifyMagiclinkOtpParams, type VerifyOtpParams, type VerifyRecoveryOtpParams, type VerifySignupOtpParams, type VerifySmsOtpParams, isMfaChallenge };
+/**
+ * AUTH-021 — passkeys WebAuthn : conversions entre le JSON du serveur (champs binaires en
+ * base64url) et les objets natifs de `navigator.credentials`.
+ *
+ * Ces fonctions sont pures et exportées pour les applications qui pilotent la cérémonie
+ * elles-mêmes (React Native, extension, test) ; `auth.mfa.webauthn.register/verify` les enchaîne
+ * pour le cas courant du navigateur.
+ */
+/** base64url (sans remplissage) → octets. */
+declare function base64urlToBytes(valeur: string): Uint8Array<ArrayBuffer>;
+/** octets → base64url (sans remplissage). */
+declare function bytesToBase64url(octets: ArrayBuffer | ArrayBufferView): string;
+interface DescripteurJson {
+    id: string;
+    type: string;
+    transports?: string[];
+}
+/** Options de création telles que renvoyées par `mfa/webauthn/register/start`. */
+interface WebAuthnCreationOptionsJson {
+    publicKey: Record<string, unknown> & {
+        challenge: string;
+        user: {
+            id: string;
+            name: string;
+            displayName: string;
+        };
+        excludeCredentials?: DescripteurJson[];
+    };
+}
+/** Options d'assertion telles que renvoyées par `mfa/webauthn/verify/start`. */
+interface WebAuthnRequestOptionsJson {
+    publicKey: Record<string, unknown> & {
+        challenge: string;
+        allowCredentials?: DescripteurJson[];
+    };
+}
+/** Convertit les options de création du serveur en `CredentialCreationOptions` natives. */
+declare function creationOptionsFromJson(json: WebAuthnCreationOptionsJson): CredentialCreationOptions;
+/** Convertit les options d'assertion du serveur en `CredentialRequestOptions` natives. */
+declare function requestOptionsFromJson(json: WebAuthnRequestOptionsJson): CredentialRequestOptions;
+/** Sérialise la réponse de `credentials.create()` au format attendu par `register/finish`. */
+declare function attestationToJson(cred: PublicKeyCredential): Record<string, unknown>;
+/** Sérialise la réponse de `credentials.get()` au format attendu par `verify/finish`. */
+declare function assertionToJson(cred: PublicKeyCredential): Record<string, unknown>;
+
+export { AuthAdminService, AuthService, type EmailOtpType, type ImpersonationResult, type ImportUserInput, type ImportUsersReport, type MobileOtpType, SessionManager, type SessionManagerOptions, type SigningKeysInfo, type VerifyEmailChangeOtpParams, type VerifyEmailOtpParams, type VerifyMagiclinkOtpParams, type VerifyOtpParams, type VerifyRecoveryOtpParams, type VerifySignupOtpParams, type VerifySmsOtpParams, type WebAuthnCreationOptionsJson, type WebAuthnRegisterParams, type WebAuthnRequestOptionsJson, type WebAuthnVerifyParams, assertionToJson, attestationToJson, base64urlToBytes, bytesToBase64url, creationOptionsFromJson, isMfaChallenge, requestOptionsFromJson };