Descrição do projeto
TraduzidoTemos vários produtos web e móveis e não queremos reescrever a proteção de login do zero em cada um. O objetivo é um único serviço de autenticação de dois fatores que nossos aplicativos possam chamar via API: registrar usuários, emitir códigos de uso único e verificá-los no login ou ao confirmar operações sensíveis. Este projeto NÃO é intencionalmente um projeto SSO ou delegação OAuth e NÃO é um wrapper de gateway SMS. Precisamos da camada OTP: geração de código, armazenamento, duração, limitação de taxa, lógica de verificação e os fluxos de configuração e recuperação ao redor disso.
Sobre os métodos de verificação, precisamos de suporte total para TOTP para que os usuários possam vincular qualquer aplicativo autenticador compatível escaneando um código QR, com um endpoint para o segredo compartilhado e tolerância de desvio de relógio. Além disso, precisamos de códigos de uso único via SMS e email como canais de backup, com comprimento de código configurável, janela de validade e limites de reenvio para controlar custos e abusos. Cada usuário conectado recebe um conjunto de códigos de backup descartáveis que podem imprimir ou salvar, e deve haver um caminho seguro para reemitir e revogar se um dispositivo for perdido. A camada de entrega usa adaptadores para que provedores de SMS ou email possam ser trocados via configuração sem alterações de código.
Tudo isso é gerenciado através de uma API REST documentada com autorização de token para aplicativos chamadores, respostas JSON previsíveis e códigos de erro claros para tokens inválidos, expirados ou já utilizados. A segurança é a essência do produto, então esperamos hashing de segredo em armazenamento, bloqueio de força bruta, um log de auditoria de tentativas de verificação e padrões sensatos. Em sua resposta, descreva sua experiência com sistemas OTP ou de autenticação.
— Suporte a autenticador TOTP (emissão de QR, segredo compartilhado, tolerância de tempo)
— Códigos de uso único via SMS e email com janela de validade e limite de reenvio
— Códigos de backup descartáveis com reemissão e revogação
— API REST documentada com autorização de token e códigos de erro claros
— Adaptadores de provedores de SMS/email, intercambiáveis via configuração
— Log de auditoria, bloqueio de força bruta, hashing de segredo em armazenamento
Sobre os métodos de verificação, precisamos de suporte total para TOTP para que os usuários possam vincular qualquer aplicativo autenticador compatível escaneando um código QR, com um endpoint para o segredo compartilhado e tolerância de desvio de relógio. Além disso, precisamos de códigos de uso único via SMS e email como canais de backup, com comprimento de código configurável, janela de validade e limites de reenvio para controlar custos e abusos. Cada usuário conectado recebe um conjunto de códigos de backup descartáveis que podem imprimir ou salvar, e deve haver um caminho seguro para reemitir e revogar se um dispositivo for perdido. A camada de entrega usa adaptadores para que provedores de SMS ou email possam ser trocados via configuração sem alterações de código.
Tudo isso é gerenciado através de uma API REST documentada com autorização de token para aplicativos chamadores, respostas JSON previsíveis e códigos de erro claros para tokens inválidos, expirados ou já utilizados. A segurança é a essência do produto, então esperamos hashing de segredo em armazenamento, bloqueio de força bruta, um log de auditoria de tentativas de verificação e padrões sensatos. Em sua resposta, descreva sua experiência com sistemas OTP ou de autenticação.
— Suporte a autenticador TOTP (emissão de QR, segredo compartilhado, tolerância de tempo)
— Códigos de uso único via SMS e email com janela de validade e limite de reenvio
— Códigos de backup descartáveis com reemissão e revogação
— API REST documentada com autorização de token e códigos de erro claros
— Adaptadores de provedores de SMS/email, intercambiáveis via configuração
— Log de auditoria, bloqueio de força bruta, hashing de segredo em armazenamento
Programação web Dinheiro, Transferência bancária
