वेब एप्लिकेशन में दो-कारक प्रमाणीकरण और खाता सुरक्षा

हम एक परिपक्व वेब एप्लिकेशन चलाते हैं जिसमें क्लासिक ईमेल और पासवर्ड लॉगिन है, और हम खाता सुरक्षा को आधुनिक मानकों तक बढ़ाना चाहते हैं। परियोजना का लक्ष्य एक पूर्ण विशेषताओं वाला दो-कारक प्रमाणीकरण परत डिजाइन और कार्यान्वित करना है, साथ ही खाता सुरक्षा सुविधाओं का एक सेट, जिसे हमारे मौजूदा उपयोगकर्ता मॉडल और सत्र लॉजिक में सावधानीपूर्वक एकीकृत किया गया है। हमें एक बार का प्रोटोटाइप नहीं चाहिए: हमें उत्पादन-गुणवत्ता कोड, समझदारी से डिफ़ॉल्ट और नियमित उपयोगकर्ताओं के लिए एक सुविधाजनक परिदृश्य चाहिए जो सुरक्षा को नहीं समझते। चुना हुआ ठेकेदार हमारे वर्तमान स्टैक के साथ काम करता है, परियोजना में अपनाए गए कोड मानकों का पालन करता है और एक ऐसा परिणाम प्रदान करता है जिसे हमारी टीम हस्तांतरण के बाद बनाए रख सके।

विशेष रूप से आवश्यक है कि सामान्य प्रमाणीकरण ऐप्स के साथ संगत TOTP समर्थन, ईमेल के माध्यम से एक वैकल्पिक दूसरे कारक के रूप में एक बार के कोड का चैनल और एक बार के बैकअप कोड जो उपयोगकर्ता प्रिंट या सहेज सकते हैं यदि वे अपना उपकरण खो देते हैं। सेटअप चरण-दर-चरण और उलटने योग्य होना चाहिए: QR के माध्यम से गुप्त वितरण, 2FA वास्तव में सक्रिय होने से पहले अनिवार्य सत्यापन चरण और एक स्पष्ट पुनर्प्राप्ति पथ जो किसी को हमेशा के लिए बाहर नहीं करता है। समानांतर में, हम उचित सत्र प्रबंधन की अपेक्षा करते हैं: सक्रिय सत्रों और उपकरणों की एक पठनीय सूची, उनमें से किसी को भी दूरस्थ रूप से समाप्त करने की क्षमता, और लॉगिन अलर्ट जो मालिक को सूचित करते हैं जब एक नया उपकरण प्रकट होता है या कोई असामान्य लॉगिन प्रयास होता है। इनमें से सभी को गुप्त भंडारण, दर सीमा निर्धारण और बलात्कारी हमलों और कोड पुन: उपयोग के खिलाफ सुरक्षा के लिए वर्तमान सर्वोत्तम प्रथाओं का पालन करना चाहिए।

प्रस्तावित कार्य में कार्यशील विशेषताओं का एक सेट, डेटाबेस माइग्रेशन, जहां उपयुक्त हो वहां प्रशासनिक टॉगल, महत्वपूर्ण परिदृश्यों के लिए स्वचालित परीक्षण और हमारी टीम के लिए संक्षिप्त दस्तावेज़ शामिल हैं। आपकी प्रतिक्रिया में प्रमाणीकरण और सुरक्षा के साथ प्रासंगिक अनुभव का वर्णन करें और यदि उपयोगकर्ता अपने उपकरण और बैकअप कोड दोनों खो देता है तो आप पहुंच पुनर्प्राप्ति के लिए अपना दृष्टिकोण बताएं।

— प्रमाणीकरण ऐप्स के माध्यम से TOTP और दूसरे कारकों के रूप में ईमेल के माध्यम से एक बार के कोड
— सुरक्षित पुनर्जनन के साथ एक बार के बैकअप पुनर्प्राप्ति कोड
— QR वितरण और सत्यापन चरण के साथ चरण-दर-चरण और उलटने योग्य सेटअप
— दूरस्थ समाप्ति के साथ सक्रिय सत्रों और उपकरणों की सूची
— नए उपकरण और संदिग्ध लॉगिन प्रयासों के लिए लॉगिन अलर्ट
— दर सीमा निर्धारण, बलात्कारी हमलों से सुरक्षा और कोड पुन: उपयोग की रोकथाम, सुरक्षित गुप्त भंडारण