Description du projet
TraduitNous gérons une plateforme web avec un espace de compte personnel pour les utilisateurs enregistrés, et en ce moment, la connexion nécessite uniquement un mot de passe. Nous voulons ajouter une deuxième étape de vérification afin qu'un compte ne puisse pas être accessible avec un mot de passe volé seul. Le scénario principal est un code basé sur le temps généré par une application d'authentification sur le téléphone de l'utilisateur, saisi juste après le mot de passe à chaque nouvelle connexion ou après l'expiration d'une session.
En plus du flux d'authentification, nous avons besoin d'un filet de sécurité pour les personnes qui perdent leur téléphone ou le réinstallent : un ensemble de codes de secours à usage unique générés lors de la configuration, affichés une seule fois, et chacun utilisable une seule fois pour se reconnecter. Il devrait également y avoir un moyen raisonnable de désactiver et de se réinscrire à la protection à deux facteurs si un appareil est réellement perdu, sans en faire un contournement facile pour un attaquant.
L'application des règles est aussi importante que la mécanique : les utilisateurs réguliers devraient pouvoir activer cela volontairement depuis les paramètres du compte, mais les comptes avec des permissions élevées — modérateurs, personnel, toute personne ayant accès au-delà de ses propres données — doivent l'avoir requis, l'interface refusant de les laisser sauter la configuration après la connexion.
Ce que nous attendons du travail :
— inscription à l'application d'authentification avec code QR et saisie manuelle du secret
— vérification du code à la connexion avec des limites d'expiration et de réessai raisonnables
— codes de secours à usage unique, générés une fois et stockés en toute sécurité
— flux de récupération en cas de perte d'appareil avec réinscription
— application obligatoire pour les rôles à accès élevé
— instructions claires et simples pour les utilisateurs réguliers lors de la configuration
En plus du flux d'authentification, nous avons besoin d'un filet de sécurité pour les personnes qui perdent leur téléphone ou le réinstallent : un ensemble de codes de secours à usage unique générés lors de la configuration, affichés une seule fois, et chacun utilisable une seule fois pour se reconnecter. Il devrait également y avoir un moyen raisonnable de désactiver et de se réinscrire à la protection à deux facteurs si un appareil est réellement perdu, sans en faire un contournement facile pour un attaquant.
L'application des règles est aussi importante que la mécanique : les utilisateurs réguliers devraient pouvoir activer cela volontairement depuis les paramètres du compte, mais les comptes avec des permissions élevées — modérateurs, personnel, toute personne ayant accès au-delà de ses propres données — doivent l'avoir requis, l'interface refusant de les laisser sauter la configuration après la connexion.
Ce que nous attendons du travail :
— inscription à l'application d'authentification avec code QR et saisie manuelle du secret
— vérification du code à la connexion avec des limites d'expiration et de réessai raisonnables
— codes de secours à usage unique, générés une fois et stockés en toute sécurité
— flux de récupération en cas de perte d'appareil avec réinscription
— application obligatoire pour les rôles à accès élevé
— instructions claires et simples pour les utilisateurs réguliers lors de la configuration
Programmation web Espèces, Virement bancaire
