Descripción del proyecto
TraducidoOperamos una plataforma web con un área de cuenta personal para usuarios registrados, y en este momento el inicio de sesión solo requiere una contraseña. Queremos agregar un segundo paso de verificación para que una cuenta no pueda ser accedida solo con una contraseña robada. El escenario principal es un código basado en el tiempo generado por una aplicación de autenticador en el teléfono del usuario, ingresado justo después de la contraseña en cada nuevo inicio de sesión o después de que una sesión expire.
Junto con el flujo del autenticador, necesitamos una red de seguridad para las personas que pierden su teléfono o lo reinstalan: un conjunto de códigos de respaldo de un solo uso generados en la configuración, mostrados una vez y cada uno utilizable una sola vez para volver a ingresar. También debería haber una forma sensata de desactivar y volver a inscribir la protección en dos pasos si un dispositivo está genuinamente perdido, sin convertir eso en un bypass fácil para un atacante.
La aplicación de las reglas es tan importante como la mecánica: los usuarios regulares deberían poder activar esto voluntariamente desde la configuración de la cuenta, pero las cuentas con permisos elevados — moderadores, personal, cualquier persona con acceso más allá de sus propios datos — deben tenerlo como obligatorio, con la interfaz negándose a permitirles omitir la configuración después del inicio de sesión.
Lo que esperamos que incluya el trabajo:
— inscripción de la aplicación de autenticador con código QR y entrada manual de secreto
— verificación de código en el inicio de sesión con límites razonables de caducidad y reintentos
— códigos de respaldo de un solo uso, generados una vez y almacenados de forma segura
— flujo de recuperación por pérdida de dispositivo con reinscripción
— aplicación obligatoria para roles de acceso elevado
— instrucciones claras y simples para usuarios regulares durante la configuración
Junto con el flujo del autenticador, necesitamos una red de seguridad para las personas que pierden su teléfono o lo reinstalan: un conjunto de códigos de respaldo de un solo uso generados en la configuración, mostrados una vez y cada uno utilizable una sola vez para volver a ingresar. También debería haber una forma sensata de desactivar y volver a inscribir la protección en dos pasos si un dispositivo está genuinamente perdido, sin convertir eso en un bypass fácil para un atacante.
La aplicación de las reglas es tan importante como la mecánica: los usuarios regulares deberían poder activar esto voluntariamente desde la configuración de la cuenta, pero las cuentas con permisos elevados — moderadores, personal, cualquier persona con acceso más allá de sus propios datos — deben tenerlo como obligatorio, con la interfaz negándose a permitirles omitir la configuración después del inicio de sesión.
Lo que esperamos que incluya el trabajo:
— inscripción de la aplicación de autenticador con código QR y entrada manual de secreto
— verificación de código en el inicio de sesión con límites razonables de caducidad y reintentos
— códigos de respaldo de un solo uso, generados una vez y almacenados de forma segura
— flujo de recuperación por pérdida de dispositivo con reinscripción
— aplicación obligatoria para roles de acceso elevado
— instrucciones claras y simples para usuarios regulares durante la configuración
Programación web Efectivo, Transferencia bancaria
