# Lister mes clés d'accès et clés de sécurité

`GET /fapi/v1/me/passkeys` · appelé depuis l'hôte de connexion de l'environnement

Liste les clés d'accès et clés de sécurité enregistrées de l'utilisateur authentifié. Ne renvoie que les types `passkey` et `security_key`. Nécessite le cookie `__Host-idp_session` de l'utilisateur authentifié ; si le cookie est absent, expiré ou révoqué, renvoie `401 unauthenticated`. Une application de première partie sur une autre origine peut à la place envoyer son jeton d'accès API front (`Authorization: DPoP <token>` avec une preuve DPoP ; voir [Jeton d'accès API front](/docs/api/fapi/front-api-token)).

## Requête

En-têtes :

| En-tête | Obligatoire | Description |
| --- | --- | --- |
| `Idp-Client` | oui | Identifiant du SDK. |

Pas de corps.

## Réponse

`200 OK` avec `{"data": [...]}`.

Chaque élément : `id` (`cred_…`), `type` (`passkey`, `security_key`, `totp`, `sms`, `email`, `push`), `label`, `status` (`active` ou `clone_suspected` : le compteur de signature a reculé, inutilisable jusqu'à confirmation), `synced` (clé d'accès synchronisée), `created_at`, `last_used_at` (`null` si jamais utilisée), `last_used_country` (si présent).

## Erreurs

| Statut | Code | Quand |
| --- | --- | --- |
| 401 | `unauthenticated` | Aucun cookie de session valide. |

## Exemple

```bash
curl https://example.keenauth.app/fapi/v1/me/passkeys \
  -H "Idp-Client: my-app/1.0.0 (node/22.0.0)" \
  -b cookies.txt
```

## Données personnelles

Cet point de terminaison traite des données personnelles : identifiants. [Données personnelles dans les API KeenAuth](/docs/policies/personal-data) décrit ce qui est stocké, la durée de conservation et la manière dont elles sont supprimées. N'envoyez pas de catégories particulières de données personnelles (santé, données biométriques, religion, opinions politiques, orientation sexuelle) dans aucun champ.