Desarrollar un servicio de autenticación de dos factores (2FA/OTP) con API

Tenemos varios productos web y móviles y no queremos reescribir la protección de inicio de sesión desde cero en cada uno. El objetivo es un único servicio de autenticación de dos factores que nuestras aplicaciones puedan llamar a través de la API: registrar usuarios, emitir códigos de un solo uso y verificarlos al iniciar sesión o al confirmar operaciones sensibles. Este NO es intencionadamente un proyecto de SSO o delegación de OAuth y NO es un envoltorio de puerta de enlace SMS. Necesitamos la capa OTP: generación de códigos, almacenamiento, duración, limitación de tasa, lógica de verificación y los flujos de configuración y recuperación a su alrededor.

Sobre los métodos de verificación, necesitamos soporte completo para TOTP para que los usuarios puedan vincular cualquier aplicación de autenticador compatible escaneando un código QR, con un punto final para el secreto compartido y la tolerancia al desfase horario. Además, necesitamos códigos de un solo uso a través de SMS y correo electrónico como canales de respaldo, con longitud de código configurable, ventana de validez y límites de reenvío para controlar costos y abusos. Cada usuario conectado recibe un conjunto de códigos de respaldo desechables que puede imprimir o guardar, y debe haber un camino seguro para reemitir y revocar si se pierde un dispositivo. La capa de entrega utiliza adaptadores para que los proveedores de SMS o correo electrónico puedan ser intercambiados a través de la configuración sin cambios en el código.

Todo esto se gestiona a través de una API REST documentada con autorización de token para aplicaciones que llaman, respuestas JSON predecibles y códigos de error claros para tokens inválidos, expirados o ya utilizados. La seguridad es la esencia del producto, por lo que esperamos hashing de secretos en almacenamiento, bloqueo de fuerza bruta, un registro de auditoría de intentos de verificación y valores predeterminados sensatos. En su respuesta, describa su experiencia con sistemas OTP o de autenticación.

— Soporte para autenticadores TOTP (emisión de QR, secreto compartido, tolerancia de tiempo)
— Códigos de un solo uso a través de SMS y correo electrónico con ventana de validez y límite de reenvío
— Códigos de respaldo desechables con reemisión y revocación
— API REST documentada con autorización de token y códigos de error claros
— Adaptadores de proveedores de SMS/correo electrónico, intercambiables a través de configuración
— Registro de auditoría, bloqueo de fuerza bruta, hashing de secretos en almacenamiento