A passkey do titular foi revogada
Mesma assinatura (X-IDSAAS-Signature), mesmos headers e mesma escada de retentativas dos eventos de verificação; deduplique pelo id do evento. Chega no webhook do flow da sessão que vinculou a chave, inclusive quando a revogação veio do painel ou do apagamento do titular.
Cabeçalhos
Assinatura HMAC (pode trazer mais de um v1 durante rotação de segredo).
Tipo do evento.
"passkey.revoked"Corpo
Envelope do passkey.bound e do passkey.revoked. Mesma assinatura, headers e escada de retentativas dos eventos de verificação.
Id estável do evento (deduplique por ele): evt_<passkey_id>passkey_bound ou evt<passkey_id>_passkey_revoked.
passkey.bound, passkey.revoked A passkey do titular virou ATIVA (passkey.bound) ou foi REVOGADA (passkey.revoked). O passkey.bound e o aviso de vínculo de autenticador que a NIST SP 800-63B-4 (4.1.2.1) manda dar ao titular por canal independente: repasse a ele. Campo novo pode surgir sem subir schema_version: ignore chave desconhecida.
Resposta
Confirmação de recebimento. Qualquer 2xx conta; processar depois, responder já.