На нашем сайте давно используется обычный вход по логину и паролю, и настало время усилить защиту учётных записей современными средствами. В рамках заказа нужно продумать и встроить полноценную двухфакторную проверку входа плюс комплекс мер по безопасности профиля, органично вписав их в уже действующую систему пользователей и сессий. Черновой прототип нас не интересует — ждём аккуратное решение боевого уровня с адекватными настройками по умолчанию и понятным поведением для рядовых людей, далёких от темы информационной безопасности. Исполнителю предстоит работать в рамках нашего стека, придерживаться сложившегося стиля кода и передать результат так, чтобы дальнейшую поддержку вела уже наша сторона.
По составу работ нужна проверка через одноразовые коды по стандарту TOTP с поддержкой популярных приложений-генераторов, отправка кодов на почтовый ящик как запасной второй фактор и комплект одноразовых аварийных кодов, которые владелец сможет сохранить или распечатать на случай утраты телефона. Процедура включения второго фактора должна быть наглядной и легко отменяемой: секрет выдаётся через QR-код, до реальной активации обязательна контрольная проверка, а на случай проблем предусмотрен внятный сценарий возврата доступа без вечной блокировки. Отдельно нужен раздел с перечнем действующих входов и устройств, кнопкой дистанционного завершения любого из них и уведомлениями, которые предупреждают хозяина аккаунта о входе с незнакомого устройства или о странной активности. Реализация обязана опираться на свежие рекомендации по хранению ключей, лимитам на попытки и защите от подбора и повторной отправки кодов.
При сдаче ждём готовый функционал, миграции для базы, при необходимости настройки в админке, тесты на ключевые сценарии и короткую инструкцию для команды. В заявке расскажите про свой опыт с системами входа и безопасностью и предложите, как вернуть доступ пользователю, потерявшему и телефон, и аварийные коды.
— Коды TOTP из приложений-генераторов и письма с одноразовыми кодами как второй фактор
— Аварийные одноразовые коды с возможностью безопасно выпустить новые
— Наглядная и отменяемая активация через QR-код с контрольной проверкой
— Раздел действующих входов и устройств с дистанционным завершением
— Уведомления о входе с нового устройства и о подозрительной активности
— Лимиты попыток, защита от подбора и повторов, надёжное хранение ключей
По составу работ нужна проверка через одноразовые коды по стандарту TOTP с поддержкой популярных приложений-генераторов, отправка кодов на почтовый ящик как запасной второй фактор и комплект одноразовых аварийных кодов, которые владелец сможет сохранить или распечатать на случай утраты телефона. Процедура включения второго фактора должна быть наглядной и легко отменяемой: секрет выдаётся через QR-код, до реальной активации обязательна контрольная проверка, а на случай проблем предусмотрен внятный сценарий возврата доступа без вечной блокировки. Отдельно нужен раздел с перечнем действующих входов и устройств, кнопкой дистанционного завершения любого из них и уведомлениями, которые предупреждают хозяина аккаунта о входе с незнакомого устройства или о странной активности. Реализация обязана опираться на свежие рекомендации по хранению ключей, лимитам на попытки и защите от подбора и повторной отправки кодов.
При сдаче ждём готовый функционал, миграции для базы, при необходимости настройки в админке, тесты на ключевые сценарии и короткую инструкцию для команды. В заявке расскажите про свой опыт с системами входа и безопасностью и предложите, как вернуть доступ пользователю, потерявшему и телефон, и аварийные коды.
— Коды TOTP из приложений-генераторов и письма с одноразовыми кодами как второй фактор
— Аварийные одноразовые коды с возможностью безопасно выпустить новые
— Наглядная и отменяемая активация через QR-код с контрольной проверкой
— Раздел действующих входов и устройств с дистанционным завершением
— Уведомления о входе с нового устройства и о подозрительной активности
— Лимиты попыток, защита от подбора и повторов, надёжное хранение ключей
