Опис проєкту
ПерекладУ нас кілька веб- та мобільних продуктів, і ми не хочемо щоразу заново писати захист входу в кожному з них. Мета проекту — єдиний сервіс двофакторної аутентифікації, який наші приложення зможуть викликати по API: реєструвати користувачів, видавати одноразові коди й перевіряти їх при вході або при підтвердженні важливих операцій. Це усвідомлено НЕ проект з SSO або делегування входу через OAuth та НЕ обгортка над SMS-шлюзом. Нам потрібен саме шар OTP: логіка генерації, зберігання, терміну дії, обмеження частоти й перевірки кодів, а також сценарії підключення та відновлення навколо нього.
По методам підтвердження потрібна повнофункціональна підтримка TOTP, щоб користувачі могли прив'язати будь-яке сумісне приложення-аутентифікатор, відсканувавши QR-код, з endpoint'ом видачі загального секрету й допуском на розбіжність годин. Додатково потрібні одноразові коди по SMS та email як резервні канали, з настраюємою довжиною коду, вікном дії та обмеженням повторної відправки, щоб тримати під контролем витрати та зловживання. Кожному підключеному користувачу потрібно видавати набір одноразових резервних кодів, які можна надрукувати або зберегти, й повинен бути безпечний шлях перевидачі та відзиву при втраті пристрою. Шар доставки робимо на адаптерах, щоб SMS- або email-провайдера можна було змінювати через конфіг, а не переписуючи код.
Все це керується через задокументований REST API з токенною авторизацією викликаючих приложень, передбачуваними JSON-відповідями та зрозумілими кодами помилок для невірних, прострочених або вже використаних токенів. Безпека — суть продукту, тому ми чекаємо хешування секретів при зберіганні, блокування при переборі, журнал спроб перевірки та розумні налаштування за замовчуванням. У відповіді опишіть, будь ласка, ваш досвід з OTP або системами аутентифікації.
— Підтримка TOTP-аутентифікаторів (QR-видача, загальний секрет, допуск за часом)
— Одноразові коди по SMS та email зі сроком дії й ліміти повторів
— Одноразові резервні коди з перевидачею й відзивом
— Задокументований REST API з токенною авторизацією та зрозумілими кодами помилок
— Адаптери провайдерів SMS/email, змінювані через конфіг
— Журнал аудиту, блокування перебору, хешування секретів при зберіганні
По методам підтвердження потрібна повнофункціональна підтримка TOTP, щоб користувачі могли прив'язати будь-яке сумісне приложення-аутентифікатор, відсканувавши QR-код, з endpoint'ом видачі загального секрету й допуском на розбіжність годин. Додатково потрібні одноразові коди по SMS та email як резервні канали, з настраюємою довжиною коду, вікном дії та обмеженням повторної відправки, щоб тримати під контролем витрати та зловживання. Кожному підключеному користувачу потрібно видавати набір одноразових резервних кодів, які можна надрукувати або зберегти, й повинен бути безпечний шлях перевидачі та відзиву при втраті пристрою. Шар доставки робимо на адаптерах, щоб SMS- або email-провайдера можна було змінювати через конфіг, а не переписуючи код.
Все це керується через задокументований REST API з токенною авторизацією викликаючих приложень, передбачуваними JSON-відповідями та зрозумілими кодами помилок для невірних, прострочених або вже використаних токенів. Безпека — суть продукту, тому ми чекаємо хешування секретів при зберіганні, блокування при переборі, журнал спроб перевірки та розумні налаштування за замовчуванням. У відповіді опишіть, будь ласка, ваш досвід з OTP або системами аутентифікації.
— Підтримка TOTP-аутентифікаторів (QR-видача, загальний секрет, допуск за часом)
— Одноразові коди по SMS та email зі сроком дії й ліміти повторів
— Одноразові резервні коди з перевидачею й відзивом
— Задокументований REST API з токенною авторизацією та зрозумілими кодами помилок
— Адаптери провайдерів SMS/email, змінювані через конфіг
— Журнал аудиту, блокування перебору, хешування секретів при зберіганні
Веб програмування Готівка, Банківський переказ
