Опис проєкту
ПерекладУ нас працює зріла веб-застосунок із класичним входом по e-mail й паролю, і ми хочемо піднести безпеку аккаунтів до сучасного рівня. Мета проекту — спроектувати й реалізувати повноцінний шар двофакторної аутентифікації разом з набором функцій захисту облікового запису, акуратно вбудованих у нашу існуючу модель користувача й логіку сеансів. Нам не потрібен одноразовий прототип: потрібен код продакшн-якості, розумні значення за замовчуванням і зручний сценарій для звичайних користувачів, які не розбираються в безпеці. Вибраний виконавець працює з нашим поточним стеком, дотримується прийнятих у проекті угод щодо коду й здає результат, який наша команда зможе підтримувати після передачі.
Конкретно потрібна підтримка TOTP, сумісна з розповсюдженими застосунками-аутентифікаторами, канал одноразових кодів по електронній пошті як альтернативний другий фактор і одноразові резервні коди, які користувач може роздрукувати чи зберегти на випадок втрати пристрою. Підключення повинне бути покроковим і оборотним: видача секрету через QR, обов'язковий крок перевірки до фактичного включення 2FA й зрозумілий шлях відновлення, який не блокує людину назавжди. Паралельно очікуємо нормальне управління сеансами: читаний список активних сеансів і пристроїв, можливість віддалено завершити будь-який із них, а також сповіщення про вхід, які повідомляють власника при появі нового пристрою чи незвичайної спроби входу. Все це повинне слідувати актуальним практикам зберігання секретів, обмеження частоти запитів і захисту від перебору й повторного використання кодів.
У результат входять робочий набір функцій, міграції бази даних, адміністративні вимикачі там, де це доречно, автотести критичних сценаріїв і коротка документація для нашої команди. У відповіді опишіть релевантний досвід роботи з аутентифікацією й безпекою й підхід до відновлення доступу, якщо користувач втратив і пристрій, і резервні коди.
— TOTP через застосунки-аутентифікатори й одноразові коди по e-mail як другі фактори
— Одноразові резервні коди відновлення з безпечною перегенерацією
— Покроковий і оборотний підключення з видачею QR і кроком перевірки
— Список активних сеансів і пристроїв із віддаленим завершенням
— Сповіщення про вхід з нового пристрою й про підозрілі спроби
— Обмеження частоти, захист від перебору й повторів, безпечне зберігання секретів
Конкретно потрібна підтримка TOTP, сумісна з розповсюдженими застосунками-аутентифікаторами, канал одноразових кодів по електронній пошті як альтернативний другий фактор і одноразові резервні коди, які користувач може роздрукувати чи зберегти на випадок втрати пристрою. Підключення повинне бути покроковим і оборотним: видача секрету через QR, обов'язковий крок перевірки до фактичного включення 2FA й зрозумілий шлях відновлення, який не блокує людину назавжди. Паралельно очікуємо нормальне управління сеансами: читаний список активних сеансів і пристроїв, можливість віддалено завершити будь-який із них, а також сповіщення про вхід, які повідомляють власника при появі нового пристрою чи незвичайної спроби входу. Все це повинне слідувати актуальним практикам зберігання секретів, обмеження частоти запитів і захисту від перебору й повторного використання кодів.
У результат входять робочий набір функцій, міграції бази даних, адміністративні вимикачі там, де це доречно, автотести критичних сценаріїв і коротка документація для нашої команди. У відповіді опишіть релевантний досвід роботи з аутентифікацією й безпекою й підхід до відновлення доступу, якщо користувач втратив і пристрій, і резервні коди.
— TOTP через застосунки-аутентифікатори й одноразові коди по e-mail як другі фактори
— Одноразові резервні коди відновлення з безпечною перегенерацією
— Покроковий і оборотний підключення з видачею QR і кроком перевірки
— Список активних сеансів і пристроїв із віддаленим завершенням
— Сповіщення про вхід з нового пристрою й про підозрілі спроби
— Обмеження частоти, захист від перебору й повторів, безпечне зберігання секретів
Веб програмування Готівка, Банківський переказ
