WhatsApp 一加 passkey,巴西的 API 服务商三天出了个插件:WebAuthn Solver 是止血的绷带,不是一门生意

WebAuthn Solver(Chrome,bppkencpjohlibaadnjbbeflgjmhnoch)

结论先行

WebAuthn Solver 本身没有"跑出来"。它是巴西非官方 WhatsApp API 服务商 Z-API(开发者账号 Four Pixel IT / GRANDS SISTEMAS LTDA,巴拉那州 Cianorte)出的一个配套小组件。2026-06-30 Meta 在 WhatsApp Web 关联设备时开始强制 passkey,Baileys、whatsapp-web.js 这类无头方案连不上了。这个扩展做的事:在 web.whatsapp.com 页面里替服务端跑 navigator.credentials.get(),把签好的 assertion 交回 Z-API。

它的 327 个用户几乎都是 Z-API 自己的客户。来路是 Z-API 的面板和 SDK 弹窗里的"安装扩展"按钮,不是商店搜索,也不是什么内容渠道。7 月上线,8 月底到 322,之后两个多月一直横在 322–343,近 30 天还掉了 9 个。Z-API 体系里真正走量的是另一条路:老扩展 Z-API Conector(会话迁移,3,000 用户,9 月从 2k 涨到 3k)。

同一件事至少还有 WAHA(1,000+ Chrome 用户)、Whapi、Evolution GO、WAME,以及一串小 SaaS 的"Passkey Bridge / Session Connector"在做。召回理由里说"这个模式正被真实付费客户采用",这一点成立,但被采用的是"API 服务商自己出一个浏览器扩展来过 passkey"这个模式,不是这一个产品。它没有独立的分发,也没有独立收费。

它是什么

• 商店页:"Resolve desafios WebAuthn (passkey) no navegador…",版本 1.0.2,2026-07-03 发布,之后没更新;22.8 KiB;只有葡萄牙语(巴西);开发者 Four Pixel IT,欧盟 trader,D-U-N-S 898095533,邮箱 [email protected],地址 Av. Marajó 190, Cianorte, PR。来源:Chrome 商店页(2026-11-08 经 Jina 读取)。
• 官网 webauthnsolver.com:"executa o desafio de passkey (WebAuthn) do WhatsApp Web direto no navegador do seu cliente… e devolve a assertion pronta para o seu sistema"。接法是 import "https://app.z-api.io/webauthn-sdk.js",再调 ZapiWebAuthn.solve(publicKey)。权限只要 web.whatsapp.com 和 app.z-api.io,不要 <all_urls>;不存东西;官网说有 Firefox 签名版。
• 流程:客户的页面调 SDK → Z-API 域名下的 iframe 桥唤起扩展 → 扩展打开或聚焦 web.whatsapp.com,在正确的 origin 上执行 get() → 用户靠手机蓝牙就近确认 → assertion 回到客户页面 → 客户后端交给 WhatsApp。
• Z-API 开发者文档里对应的是 Connection SDK 的"Passkey authentication (extension)"一段,有 "Install on Chrome / Install on Firefox" 两个按钮,还提示 Windows 10 和没有蓝牙的设备过不了(developer.z-api.io/en/partner/sdk-connector)。
• 收费:扩展免费。钱在 Z-API 的实例月费:Ultimate R$99.99/实例/月,Partner 10 个起 R$89.99(blog.cubosuite.com.br,2026-08-28)。Z-API 自称 6 万到 10 万客户、8 万个"运营"(z-api.io 博客、LinkedIn,自报,未核实)。

为什么"现在"有人装:平台事件

• 2026-06-30:Meta 在关联设备流程里加入 passkey(WhatsApp 内部叫 "Shortcake"),QR 码和配对码都会停在 passkey 这一步。当天 Baileys 开了 issue #2672,至今未关,93 条评论;Evolution API 开了 #2618,未关,53 条评论;OpenWA #560 写着 "mandatory passkey blocks all device linking"。来源:GitHub API,2026-11-08。
• 巴西律所 SaaS chatjuridico 在 2026-06-30 当天发文:"Hoje de manhã começaram a chegar as primeiras mensagens… meu número não reconecta"。
• Whapi.cloud 2026-07-06 发文说是 "June 2026 passkey update…halted production bots globally",无头服务器给不出 rpId: whatsapp.com 的 assertion。
• 结论:passkey 只能在 web.whatsapp.com 这个 origin、在主人手机附近签,服务器做不了,web.whatsapp.com 又不能被嵌进 iframe。所以"用户浏览器里装一个扩展"几乎是唯一的路。WebAuthn Solver 7-03 上架,是商店里最早几个专门过 passkey 的扩展之一。

用户从哪来

增长数据

• extops.dev 曲线:2026-08-31 是 322,9-07 到 340,10-11 最高 343,11-08 是 327;"Users, last 30 days -9",评分 0 条。来源:extops.dev/extensions/bppkencpjohlibaadnjbbeflgjmhnoch,2026-11-08。
• 我们的 chromestore 库:11-08 快照 327 用户,0 评分(src=related,只有卡片,没有详情)。
• 同一开发者的 Z-API Conector:extops 显示 9-01 为 2k,9-21 为 3k,11-08 仍是 3k,5.0 分 4 条评价;2022-11-17 发布,2026-07-02 更新到 3.0.0。说明 passkey 事件之后,Z-API 客户的主路径是"先在自己浏览器里正常登录 WhatsApp Web,再用 Conector 把会话迁到 Z-API",而不是用 Solver 实时签。
• 解读:327 个用户对应 Z-API 自报的几万客户,说明只有很少一部分人走到了"实时 passkey 签名"这一步。Z-API 文档也写了,这只在"部分设备"上触发。

竞品

没有一家独占:6 月 30 日之后的头两周,几乎每个非官方 WhatsApp API 和用它们的 SaaS 都各自上了一个桥。

差异化

• 跟同类比,它的特点是:权限最小(只有 web.whatsapp.com 加 app.z-api.io)、同时有 Chromium 和 Firefox 版、"SDK + iframe 桥"让任何客户域名都能调用、名字不带 Z-API 品牌(合作方白标时客户看不到 Z-API)。
• 但这些都不是它能有用户的原因。用户来是因为他们本来就是 Z-API 付费客户,被面板引导过来的。从 WAHA 的做法看,"品牌中立、无状态签名"这套设计是同行几天内就想到的通用方案,不是独门技术。
• Z-API 自称"第一",说的是 2026-07-30 那篇 ConnectorZ 博客;WAHA 7-09、Whapi 7-06 都更早公开了方案。

能见度

• 扩展本身:还没什么人知道。0 评分,没有媒体报道,X 上没有提及(x-radar 0 条),YouTube 只有讲 Conector 的教程,185 次观看。
• 这个问题本身:在开发者小圈子里传得很广(Baileys issue 93 条评论、Evolution 53 条,Whapi、WAHA、Z-API 都发了文)。
• 收入:Z-API 的定价是公开的(R$99.99/实例/月),扩展本身不收费。

跟风者

不存在"抄它"这回事:同类是同一时间、同一个平台事件逼出来的平行方案,见上面竞品表,WAHA、Verdash、NixZap、Treisa、Nexma、SendFlow 等。

能借鉴的

1. 平台一加验证,就会冒出"只有浏览器扩展能做"的桥接需求。 原因是 WebAuthn 绑 origin、需要人就在设备旁边、目标页不能嵌 iframe。谁有现成的付费客户,谁就能在几天内用一个扩展把流失堵住,扩展只是留存工具。
2. 权限尽量小、名字不带品牌、走 externally_connectable / iframe 桥。 这样一个扩展能给多个下游 SaaS 白标复用,过商店审核也更顺。WAHA 和 Z-API 都是这么做的。
3. 如果想做成独立产品,机会在"跨服务商的通用 passkey 桥",卖给那些没能力自己写扩展的小 SaaS。但 WAHA 已经免费、品牌中立地占了这个位置,Meta 后面也可能继续收紧(Z-API 博客原话:"apenas o começo de uma série de atualizações"),天花板低、风险高。

还不确定的

• Z-API 面板里实时 passkey 这一步默认装的是不是这个扩展(SDK 文档里有 Chrome/Firefox 安装按钮,但我们抓到的文档文字里没出现它的商店 ID)。
• Firefox 版的用户数(AMO 搜不到,可能没公开上架)。
• Z-API 的客户数(6 万、8 万、10 万几种说法都是自报)。
• 7 月上线到 8 月底这段的曲线(extops 只有 8-31 以后的数)。
• Whapi、Evolution GO、WAME 各自的使用量。

出处

• Chrome 商店页:chromewebstore.google.com/detail/webauthn-solver/bppkencpjoh…
• 官网:www.webauthnsolver.com/
• extops.dev:extops.dev/extensions/bppkencpjohlibaadnjbbeflgjmhnoch ,extops.dev/extensions/iopmkohngoecmepoheapifkafbeomphn
• Z-API 博客(2026-07-30):z-api.io/blog/connectorz-a-1a-api-do-mundo-a-solucionar-o-no…
• Z-API 文档:developer.z-api.io/en/tips/extension-guide ,developer.z-api.io/en/partner/sdk-connector ,developer.z-api.io/en/partner/extension-token
• Z-API 定价:blog.cubosuite.com.br/z-api-guia-completo/
• Baileys #2672:github.com/WhiskeySockets/Baileys/issues/2672 ;Evolution #2618:github.com/evolution-foundation/evolution-api/issues/2618 ;OpenWA #560
• Whapi:whapi.cloud/blog/understanding-whatsapp-new-passkey-security…
• WAHA:waha.devlike.pro/blog/waha-passkey/ ;Chrome 商店 ghpdcgnjffaaekflfpcgkgpbafmjldcp(1,000 用户);AMO whatsapp-browser-extension(79 用户)
• WAME:wame.api.br/passkey
• chatjuridico:chatjuridico.com.br/verificacao-seguranca-whatsapp-web-api-n…
• 我们的 chromestore 库(item / item_snap / search,2026-11-08)