Description du projet
TraduitNous avons plusieurs produits web et mobiles et ne voulons pas réécrire la protection de connexion de zéro dans chacun d'eux. L'objectif est un service d'authentification à deux facteurs unique que nos applications peuvent appeler via API : enregistrer des utilisateurs, émettre des codes à usage unique et les vérifier lors de la connexion ou lors de la confirmation d'opérations sensibles. Ceci n'est intentionnellement PAS un projet SSO ou de délégation OAuth et PAS un wrapper de passerelle SMS. Nous avons besoin de la couche OTP : génération de code, stockage, durée de vie, limitation de taux, logique de vérification, et les flux de configuration et de récupération autour de cela.
Concernant les méthodes de vérification, nous avons besoin d'un support complet pour TOTP afin que les utilisateurs puissent lier n'importe quelle application d'authentification compatible en scannant un code QR, avec un point de terminaison pour le secret partagé et la tolérance de décalage horaire. De plus, nous avons besoin de codes à usage unique par SMS et email comme canaux de secours, avec une longueur de code configurable, une fenêtre de validité et des limites de renvoi pour contrôler les coûts et les abus. Chaque utilisateur connecté reçoit un ensemble de codes de secours jetables qu'il peut imprimer ou sauvegarder, et il doit y avoir un chemin sûr pour réémettre et révoquer si un appareil est perdu. La couche de livraison utilise des adaptateurs afin que les fournisseurs de SMS ou d'email puissent être échangés via la configuration sans modifications de code.
Tout cela est géré via une API REST documentée avec autorisation par token pour les applications appelantes, des réponses JSON prévisibles, et des codes d'erreur clairs pour les tokens invalides, expirés ou déjà utilisés. La sécurité est l'essence du produit, donc nous attendons un hachage des secrets en stockage, un blocage des attaques par force brute, un journal d'audit des tentatives de vérification, et des valeurs par défaut sensées. Dans votre réponse, veuillez décrire votre expérience avec les systèmes OTP ou d'authentification.
— Support d'authentificateur TOTP (émission QR, secret partagé, tolérance de temps)
— Codes à usage unique par SMS et email avec fenêtre de validité et limite de renvoi
— Codes de secours jetables avec réémission et révocation
— API REST documentée avec autorisation par token et codes d'erreur clairs
— Adaptateurs de fournisseur SMS/email, échangeables via configuration
— Journal d'audit, blocage des attaques par force brute, hachage des secrets en stockage
Concernant les méthodes de vérification, nous avons besoin d'un support complet pour TOTP afin que les utilisateurs puissent lier n'importe quelle application d'authentification compatible en scannant un code QR, avec un point de terminaison pour le secret partagé et la tolérance de décalage horaire. De plus, nous avons besoin de codes à usage unique par SMS et email comme canaux de secours, avec une longueur de code configurable, une fenêtre de validité et des limites de renvoi pour contrôler les coûts et les abus. Chaque utilisateur connecté reçoit un ensemble de codes de secours jetables qu'il peut imprimer ou sauvegarder, et il doit y avoir un chemin sûr pour réémettre et révoquer si un appareil est perdu. La couche de livraison utilise des adaptateurs afin que les fournisseurs de SMS ou d'email puissent être échangés via la configuration sans modifications de code.
Tout cela est géré via une API REST documentée avec autorisation par token pour les applications appelantes, des réponses JSON prévisibles, et des codes d'erreur clairs pour les tokens invalides, expirés ou déjà utilisés. La sécurité est l'essence du produit, donc nous attendons un hachage des secrets en stockage, un blocage des attaques par force brute, un journal d'audit des tentatives de vérification, et des valeurs par défaut sensées. Dans votre réponse, veuillez décrire votre expérience avec les systèmes OTP ou d'authentification.
— Support d'authentificateur TOTP (émission QR, secret partagé, tolérance de temps)
— Codes à usage unique par SMS et email avec fenêtre de validité et limite de renvoi
— Codes de secours jetables avec réémission et révocation
— API REST documentée avec autorisation par token et codes d'erreur clairs
— Adaptateurs de fournisseur SMS/email, échangeables via configuration
— Journal d'audit, blocage des attaques par force brute, hachage des secrets en stockage
Programmation web Espèces, Virement bancaire
