Description du projet
TraduitNous gérons une application web mature avec une connexion classique par e-mail et mot de passe, et nous souhaitons élever la sécurité des comptes aux normes modernes. L'objectif du projet est de concevoir et de mettre en œuvre une couche d'authentification à deux facteurs complète avec un ensemble de fonctionnalités de protection des comptes, soigneusement intégrées dans notre modèle utilisateur existant et la logique de session. Nous n'avons pas besoin d'un prototype unique : nous avons besoin d'un code de qualité production, de valeurs par défaut sensées et d'un scénario pratique pour les utilisateurs réguliers qui ne comprennent pas la sécurité. Le contractant choisi travaille avec notre pile actuelle, suit les conventions de code adoptées dans le projet et livre un résultat que notre équipe peut maintenir après la remise.
Il est spécifiquement requis un support TOTP compatible avec les applications d'authentification courantes, un canal de codes à usage unique par e-mail comme second facteur alternatif et des codes de sauvegarde à usage unique que les utilisateurs peuvent imprimer ou sauvegarder en cas de perte de leur appareil. La configuration doit être étape par étape et réversible : livraison secrète via QR, étape de vérification obligatoire avant que 2FA ne s'active réellement et un chemin de récupération clair qui ne verrouille pas quelqu'un indéfiniment. En parallèle, nous attendons une gestion appropriée des sessions : une liste lisible des sessions et appareils actifs, la possibilité de terminer à distance l'une d'elles, et des alertes de connexion qui notifient le propriétaire lorsqu'un nouvel appareil apparaît ou qu'il y a une tentative de connexion inhabituelle. Tout cela doit suivre les meilleures pratiques actuelles pour le stockage secret, la limitation de débit et la protection contre les attaques par force brute et la réutilisation de code.
Le livrable comprend un ensemble fonctionnel de fonctionnalités, des migrations de base de données, des bascules administratives lorsque cela est approprié, des tests automatisés pour des scénarios critiques et une brève documentation pour notre équipe. Dans votre réponse, décrivez votre expérience pertinente avec l'authentification et la sécurité et votre approche de la récupération d'accès si un utilisateur perd à la fois son appareil et ses codes de sauvegarde.
— TOTP via des applications d'authentification et codes à usage unique par e-mail comme seconds facteurs
— Codes de récupération à usage unique avec régénération sécurisée
— Configuration étape par étape et réversible avec livraison QR et étape de vérification
— Liste des sessions et appareils actifs avec terminaison à distance
— Alertes de connexion pour nouvel appareil et tentatives de connexion suspectes
— Limitation de débit, protection contre la force brute et prévention de la réutilisation de code, stockage secret sécurisé
Il est spécifiquement requis un support TOTP compatible avec les applications d'authentification courantes, un canal de codes à usage unique par e-mail comme second facteur alternatif et des codes de sauvegarde à usage unique que les utilisateurs peuvent imprimer ou sauvegarder en cas de perte de leur appareil. La configuration doit être étape par étape et réversible : livraison secrète via QR, étape de vérification obligatoire avant que 2FA ne s'active réellement et un chemin de récupération clair qui ne verrouille pas quelqu'un indéfiniment. En parallèle, nous attendons une gestion appropriée des sessions : une liste lisible des sessions et appareils actifs, la possibilité de terminer à distance l'une d'elles, et des alertes de connexion qui notifient le propriétaire lorsqu'un nouvel appareil apparaît ou qu'il y a une tentative de connexion inhabituelle. Tout cela doit suivre les meilleures pratiques actuelles pour le stockage secret, la limitation de débit et la protection contre les attaques par force brute et la réutilisation de code.
Le livrable comprend un ensemble fonctionnel de fonctionnalités, des migrations de base de données, des bascules administratives lorsque cela est approprié, des tests automatisés pour des scénarios critiques et une brève documentation pour notre équipe. Dans votre réponse, décrivez votre expérience pertinente avec l'authentification et la sécurité et votre approche de la récupération d'accès si un utilisateur perd à la fois son appareil et ses codes de sauvegarde.
— TOTP via des applications d'authentification et codes à usage unique par e-mail comme seconds facteurs
— Codes de récupération à usage unique avec régénération sécurisée
— Configuration étape par étape et réversible avec livraison QR et étape de vérification
— Liste des sessions et appareils actifs avec terminaison à distance
— Alertes de connexion pour nouvel appareil et tentatives de connexion suspectes
— Limitation de débit, protection contre la force brute et prévention de la réutilisation de code, stockage secret sécurisé
Programmation web Espèces, Virement bancaire
