Описание проекта
У нас есть веб-платформа с личным кабинетом для зарегистрированных пользователей, и сейчас вход защищён только паролем. Мы хотим добавить второй фактор проверки, чтобы одного украденного пароля было недостаточно для доступа к аккаунту. Основной сценарий — временный код из приложения-аутентификатора на телефоне пользователя, который запрашивается сразу после пароля при каждом новом входе или после истечения сессии.
Отдельно нужен резервный сценарий для случаев, когда телефон потерян, сломан или переустановлен: набор одноразовых резервных кодов, которые показываются один раз при настройке, и каждый можно использовать только однократно для входа. Должна быть понятная процедура отключения и повторной привязки двухфакторной аутентификации при реальной утрате устройства, но без лазейки, которой мог бы воспользоваться злоумышленник.
Отдельно важна обязательность: обычные пользователи включают защиту добровольно в настройках личного кабинета, а вот роли с расширенным доступом — модераторы, сотрудники поддержки, все, у кого есть доступ за пределами собственных данных — должны получать её принудительно, без возможности пропустить настройку после входа.
Что должно быть в работе:
— привязка приложения-аутентификатора через QR-код и ручной ввод ключа
— проверка кода при входе с разумным сроком действия и ограничением попыток
— генерация резервных кодов и их безопасное хранение
— сценарий восстановления доступа при утрате устройства
— принудительное включение для ролей с расширенным доступом
— понятная инструкция для обычных пользователей на этапе настройки
Отдельно нужен резервный сценарий для случаев, когда телефон потерян, сломан или переустановлен: набор одноразовых резервных кодов, которые показываются один раз при настройке, и каждый можно использовать только однократно для входа. Должна быть понятная процедура отключения и повторной привязки двухфакторной аутентификации при реальной утрате устройства, но без лазейки, которой мог бы воспользоваться злоумышленник.
Отдельно важна обязательность: обычные пользователи включают защиту добровольно в настройках личного кабинета, а вот роли с расширенным доступом — модераторы, сотрудники поддержки, все, у кого есть доступ за пределами собственных данных — должны получать её принудительно, без возможности пропустить настройку после входа.
Что должно быть в работе:
— привязка приложения-аутентификатора через QR-код и ручной ввод ключа
— проверка кода при входе с разумным сроком действия и ограничением попыток
— генерация резервных кодов и их безопасное хранение
— сценарий восстановления доступа при утрате устройства
— принудительное включение для ролей с расширенным доступом
— понятная инструкция для обычных пользователей на этапе настройки
Веб программирование Наличные, Банковский перевод
