# Meine Passkeys und Sicherheitsschlüssel auflisten

`GET /fapi/v1/me/passkeys` · wird vom Anmelde-Host der Umgebung aufgerufen

Listet die registrierten Passkeys und Sicherheitsschlüssel des authentifizierten Benutzers auf. Zurückgegeben werden nur die Typen `passkey` und `security_key`. Erforderlich ist das Cookie `__Host-idp_session` des authentifizierten Benutzers. Fehlt das Cookie, ist es abgelaufen oder widerrufen, wird `401 unauthenticated` zurückgegeben. Eine First-Party-Anwendung auf einem anderen Ursprung kann stattdessen ihr API-Zugriffstoken für das Frontend senden (`Authorization: DPoP <token>` mit einem DPoP-Nachweis; siehe [Frontend-API-Zugriffstoken](/docs/api/fapi/front-api-token)).

## Anfrage

Header:

| Header | Pflicht | Beschreibung |
| --- | --- | --- |
| `Idp-Client` | ja | SDK-Kennung. |

Kein Body.

## Antwort

`200 OK` mit `{"data": [...]}`.

Jeder Eintrag enthält: `id` (`cred_…`), `type` (`passkey`, `security_key`, `totp`, `sms`, `email`, `push`), `label`, `status` (`active` oder `clone_suspected`: Der Signaturzähler ist zurückgelaufen, bis zur Bestätigung nicht verwendbar), `synced` (synchronisierter Passkey), `created_at`, `last_used_at` (`null`, wenn nie verwendet), `last_used_country` (falls vorhanden).

## Fehler

| Status | Code | Wann |
| --- | --- | --- |
| 401 | `unauthenticated` | Kein gültiges Sitzungs-Cookie. |

## Beispiel

```bash
curl https://example.keenauth.app/fapi/v1/me/passkeys \
  -H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
  -b cookies.txt
```

## Personenbezogene Daten

Dieser Endpunkt verarbeitet personenbezogene Daten: Anmeldedaten. [Personenbezogene Daten in den KeenAuth-APIs](/docs/policies/personal-data) beschreibt, was gespeichert wird, wie lange es aufbewahrt wird und wie es gelöscht wird. Übermitteln Sie in keinem Feld besondere Kategorien personenbezogener Daten (Gesundheit, biometrische Daten, Religion, politische Meinungen, sexuelle Orientierung).