Autenticação de dois fatores e proteção de conta em aplicação web

Executamos uma aplicação web madura com login clássico de e-mail e senha, e queremos elevar a segurança da conta a padrões modernos. O objetivo do projeto é projetar e implementar uma camada de autenticação de dois fatores completa, juntamente com um conjunto de recursos de proteção de conta, cuidadosamente integrados ao nosso modelo de usuário existente e lógica de sessão. Não precisamos de um protótipo único: precisamos de código de qualidade de produção, padrões sensatos e um cenário conveniente para usuários regulares que não entendem de segurança. O contratado escolhido trabalha com nossa pilha atual, segue as convenções de código adotadas no projeto e entrega um resultado que nossa equipe pode manter após a entrega.

Especificamente, é necessário suporte a TOTP compatível com aplicativos autenticadores comuns, um canal de códigos de uso único via e-mail como um segundo fator alternativo e códigos de backup de uso único que os usuários podem imprimir ou salvar caso percam seu dispositivo. A configuração deve ser passo a passo e reversível: entrega secreta via QR, etapa de verificação obrigatória antes que a 2FA realmente ative e um caminho de recuperação claro que não tranca alguém para sempre. Em paralelo, esperamos um gerenciamento de sessão adequado: uma lista legível de sessões e dispositivos ativos, a capacidade de encerrar remotamente qualquer um deles, e alertas de login que notificam o proprietário quando um novo dispositivo aparece ou há uma tentativa de login incomum. Tudo isso deve seguir as melhores práticas atuais para armazenamento secreto, limitação de taxa e proteção contra força bruta e reutilização de código.

O entregável inclui um conjunto funcional de recursos, migrações de banco de dados, alternâncias administrativas onde apropriado, testes automatizados para cenários críticos e documentação breve para nossa equipe. Em sua resposta, descreva a experiência relevante com autenticação e segurança e sua abordagem para recuperação de acesso se um usuário perder tanto seu dispositivo quanto os códigos de backup.

— TOTP via aplicativos autenticadores e códigos de uso único via e-mail como segundos fatores
— Códigos de recuperação de backup de uso único com regeneração segura
— Configuração passo a passo e reversível com entrega de QR e etapa de verificação
— Lista de sessões e dispositivos ativos com término remoto
— Alertas de login para novos dispositivos e tentativas de login suspeitas
— Limitação de taxa, proteção contra força bruta e prevenção de reutilização de código, armazenamento seguro de segredos