તમારી એપમાં બે-ફેક્ટર ઑથેન્ટિકેશન (2FA) કેવી રીતે ઉમેરશો

તમારી એપમાં બે-ફેક્ટર ઑથેન્ટિકેશન (2FA) ઉમેરવા માટે, વપરાશકર્તાઓને QR કોડ સ્કેન કરીને ઑથેન્ટિકેટર એપ લિંક કરવા દો, પાસવર્ડ પછી તે બતાવે તે છ-અંકનો કોડ માંગો, અને જ્યારે તે કોડ સાચો હોય ત્યારે જ સર્વર પર પૂરું સેશન બનાવો. જ્યારે તેઓ તે ચાલુ કરે ત્યારે દરેક વપરાશકર્તાને એક-વખતના રિકવરી કોડ આપો, કોઈ કેટલા કોડનું અનુમાન લગાવી શકે તે મર્યાદિત કરો, અને 2FA બંધ કરી શકાય તે પહેલાં પાસવર્ડ અને હાલનો કોડ બંને માંગો. જો તમે હોસ્ટેડ ઑથ પ્રદાતા વાપરો, તો તમારું પોતાનું બનાવવાને બદલે તેનો બિલ્ટ-ઇન મલ્ટી-ફેક્ટર વિકલ્પ ચાલુ કરો.

આ માર્ગદર્શિકા વિકલ્પો, ચોક્કસ પ્રવાહ, AI બિલ્ડરને આપી શકાય તેવા પ્રોમ્પ્ટ, અને એવી ભૂલો સમજાવે છે જે 2FA ને હાજર દેખાડે પણ કંઈ ન કરે. જો આ ખ્યાલ નવો હોય, તો બે-ફેક્ટર ઑથેન્ટિકેશન શું છે થી શરૂ કરો.

શરૂ કરતા પહેલાં: તમારે કામ કરતું લૉગ-ઇન જોઈએ

2FA હાલના સાઇન-ઇન ની ઉપર બેસે છે. પહેલા તમને આમાંથી એકની જરૂર છે:

• તમારું પોતાનું લૉગ-ઇન, જેમાં વપરાશકર્તાઓ અને હૅશ કરેલા પાસવર્ડ તમારી એપના ડેટાબેઝમાં હોય.
• હોસ્ટેડ ઑથ પ્રદાતા જે તમારા માટે વપરાશકર્તાઓને સંચાલિત કરે.

જો હજી કંઈ ન હોય, તો તમારી એપમાં લૉગ-ઇન કેવી રીતે ઉમેરશો થી શરૂ કરો. આ માર્ગદર્શિકાના બાકીના ભાગમાં ધારવામાં આવે છે કે પાસવર્ડનું પગલું પહેલેથી કામ કરે છે.

તમારું બીજું ફેક્ટર પસંદ કરો

TOTP એટલે time-based one-time password, જે ધોરણ (RFC 6238) છે અને ઑથેન્ટિકેટર એપ વાપરે છે. તમારો સર્વર અને વપરાશકર્તાનો ફોન એક સિક્રેટ વહેંચે છે; દરેક તે સિક્રેટ અને વર્તમાન સમય પરથી એ જ ટૂંકો કોડ બનાવે છે, જે સામાન્ય રીતે દર 30 સેકન્ડે બદલાય છે. કોઈ નેટવર્ક કનેક્શન કે SMS પ્રદાતાની જરૂર નથી.

પાસકી પાસવર્ડને વપરાશકર્તાના ડિવાઇસ પર સંગ્રહેલી ક્રિપ્ટોગ્રાફિક કી વડે બદલે છે અથવા પૂરક બનાવે છે. તે વધુ મજબૂત છે પણ જાતે બનાવવામાં વધુ કામ છે, તેથી ઘણી એપ TOTP થી શરૂ કરે છે અને પછીથી પાસકી ઉમેરે છે, અથવા તે ઑથ પ્રદાતા પાસેથી મેળવે છે.

બનાવવું કે ચાલુ કરવું?

કયા ફેક્ટર કયા પ્લાનમાં સપોર્ટ થાય છે તે માટે તમારા પ્રદાતાનું વર્તમાન દસ્તાવેજ તપાસો. બંને રીતે, કોડ-જનરેશનનું ગણિત જાતે ક્યારેય લખશો નહીં; વ્યાપક રીતે વપરાતી લાઇબ્રેરી વાપરો.

પહેલા નીતિ નક્કી કરો

પ્રોમ્પ્ટ કરતા પહેલાં આના જવાબ આપો, કારણ કે તે ડિઝાઇન બદલે છે:

1. કોણે તેનો ઉપયોગ કરવો પડે? દરેક માટે વૈકલ્પિક, એડમિન અને સ્ટાફ માટે ફરજિયાત, અથવા બધા માટે ફરજિયાત. એડમિન સત્તા ધરાવતા કોઈના માટે તે જરૂરી બનાવવું સામાન્ય છે. જુઓ રોલ-આધારિત ઍક્સેસ નિયંત્રણ.
2. વપરાશકર્તાઓ કેટલી વાર કોડ ફરી દાખલ કરે? દરેક લૉગ-ઇન પર, અથવા 30 દિવસ માટે દરેક ડિવાઇસ દીઠ એક વખત ("આ ડિવાઇસ યાદ રાખો").
3. કઈ ક્રિયાઓને તાજી તપાસ જોઈએ? ઇમેઇલ બદલવો, પેમેન્ટ વિગતો, અથવા 2FA બંધ કરવું સારા ઉમેદવાર છે. આને step-up authentication કહેવાય છે.
4. ફોન ગુમાવવાની પ્રક્રિયા શું છે? રિકવરી કોડ, અને તમે ચલાવવા તૈયાર હો તેવો મેન્યુઅલ ફોલબેક.

પગલે પગલે: પોતાના લૉગ-ઇન પર TOTP 2FA

1. સાચા ફીલ્ડ સંગ્રહો

દરેક વપરાશકર્તાને જોઈએ: 2FA ચાલુ છે કે નહીં, TOTP સિક્રેટ (આરામમાં એન્ક્રિપ્ટેડ, સાદા લખાણમાં નહીં), તે ક્યારે ચાલુ થયું, અને હૅશ કરેલી રિકવરી કોડની યાદી, પાસવર્ડની જેમ. નિષ્ફળ પ્રયાસો ગણવા માટે એક જગ્યા ઉમેરો.

2. નોંધણી

1. વપરાશકર્તા Settings ખોલે છે અને Turn on two-factor authentication પર ક્લિક કરે છે.
2. સર્વર નવું સિક્રેટ બનાવે છે અને તેને QR કોડ તરીકે પાછું આપે છે, સાથે જે સ્કેન ન કરી શકે તેમના માટે ટેક્સ્ટ વર્ઝન.
3. વપરાશકર્તા તેને ઑથેન્ટિકેટર એપમાં સ્કેન કરે છે અને હાલનો કોડ લખે છે.
4. સર્વર કોડ તપાસે છે. ફક્ત સાચો હોય તો જ તે સિક્રેટ સાચવે છે અને 2FA ચાલુ તરીકે ચિહ્નિત કરે છે.
5. એપ 8–10 રિકવરી કોડ એક જ વાર બતાવે છે અને વપરાશકર્તાને તે સાચવવા કહે છે.

પગલું 4 મહત્ત્વનું છે: કોડની પુષ્ટિ પહેલા 2FA ચાલુ કરવાથી જેનું સ્કેન નિષ્ફળ ગયું તેને લૉક આઉટ કરે છે.

3. બીજા પગલા સાથે લૉગ-ઇન

1. વપરાશકર્તા ઇમેઇલ અને પાસવર્ડ સબમિટ કરે છે. સર્વર તે તપાસે છે.
2. જો 2FA ચાલુ હોય, તો સર્વર પૂરું સેશન બનાવતો નથી. તેના બદલે તે ટૂંકી-મુદતની "second factor pending" સ્થિતિ બનાવે છે.
3. એપ કોડ સ્ક્રીન બતાવે છે. સર્વર કોડ તપાસે છે, ઘડિયાળના વિચલન માટે નાની વિન્ડો આપીને.
4. ત્યારે જ સર્વર સાચું સેશન જારી કરે છે.

દરેક સુરક્ષિત રૂટ અને API એન્ડપોઇન્ટે pending સ્થિતિને નકારવી જોઈએ. જો 2FA સ્ક્રીન ફક્ત બ્રાઉઝરમાં પેજ છુપાવે, તો સીધો API કૉલ કરીને તેને છોડી શકાય.

4. મર્યાદા અને ચેતવણીઓ

છ-અંકના કોડમાં દસ લાખ સંયોજન હોય છે, જે મર્યાદા વગર અનુમાન કરી શકાય. પ્રયાસો મર્યાદિત કરો, વારંવાર નિષ્ફળતા પછી બીજા પગલાને થોડા સમય માટે લૉક કરો, અને તે થાય ત્યારે વપરાશકર્તાને ઇમેઇલ કરો. જુઓ રેટ લિમિટિંગ અને તમારી એપમાંથી ઇમેઇલ મોકલવા.

5. રિકવરી અને બંધ કરવું

• રિકવરી કોડ એકવાર કામ કરે, પછી તે કાઢી નખાય.
• 2FA બંધ કરવા માટે પાસવર્ડ અને હાલનો કોડ અથવા રિકવરી કોડ જોઈએ.
• રિકવરી કોડ ફરી બનાવવાથી જૂનો સેટ અમાન્ય થાય.
• 2FA ચાલુ કે બંધ થાય ત્યારે વપરાશકર્તાને ઇમેઇલ કરો.

તમારા AI બિલ્ડરને આપવા માટેના પ્રોમ્પ્ટ

મુખ્ય પ્રવાહથી શરૂ કરો:

અમારા હાલના ઇમેઇલ અને પાસવર્ડ લૉગ-ઇનમાં ઑથેન્ટિકેટર એપ (TOTP) વાપરીને વૈકલ્પિક બે-ફેક્ટર ઑથેન્ટિકેશન ઉમેરો. જાણીતી TOTP લાઇબ્રેરી વાપરો, અલ્ગોરિધમ જાતે ન લખો. Settings માં QR કોડ અને ટેક્સ્ટ સિક્રેટ બતાવો, અને વપરાશકર્તા માન્ય કોડ દાખલ કરે પછી જ 2FA ચાલુ કરો. સિક્રેટ એન્ક્રિપ્ટેડ સંગ્રહો અને સેટઅપ પછી ફરી ક્યારેય બતાવશો નહીં. 10 એક-વખતના રિકવરી કોડ એક જ વાર બતાવો અને તેમને હૅશ કરીને સંગ્રહો.

પછી અમલીકરણ, જ્યાં જનરેટ થયેલો કોડ સૌથી વધુ વાર ઓછો પડે છે:

સર્વર પર 2FA લાગુ કરો. સાચા પાસવર્ડ પછી, 2FA ધરાવતા વપરાશકર્તાઓને પૂરું સેશન નહીં, ટૂંકી-મુદતની pending સ્થિતિ મળે. દરેક સુરક્ષિત પેજ અને API રૂટે pending સ્થિતિને નકારવી જોઈએ. કોડ પ્રયાસો 5 સુધી મર્યાદિત કરો, પછી બીજા પગલાને 15 મિનિટ માટે લૉક કરો અને વપરાશકર્તાને ઇમેઇલ કરો.

પછી નીતિ:

એડમિન ખાતાઓ માટે 2FA ફરજિયાત કરો: 2FA વગરના એડમિનને સેટઅપ પર મોકલો અને તે પૂરું ન થાય ત્યાં સુધી ડેશબોર્ડ સુધી પહોંચવા ન દો. 2FA બંધ કરવા કે ખાતાનો ઇમેઇલ બદલવા માટે પાસવર્ડ અને હાલનો કોડ જરૂરી બનાવો. 2FA ચાલુ કે બંધ થાય ત્યારે વપરાશકર્તાને ઇમેઇલ કરો.

અંતે, એજન્ટને શું બનાવ્યું તે સમજાવવા કહો:

દરેક રૂટની યાદી આપો જે પૂર્ણ થયેલ બીજા ફેક્ટરને તપાસે છે, TOTP સિક્રેટ અને રિકવરી કોડ ક્યાં સંગ્રહાય છે, અને તેમને કેવી રીતે સુરક્ષિત કરાય છે.

સામાન્ય ભૂલો

• પાસવર્ડ પછી સેશન જારી કરવું. સૌથી ગંભીર બગ. કોડ તપાસ્યા પહેલાં પૂરું સેશન હોય તો 2FA ફક્ત સજાવટ છે. ફક્ત પાસવર્ડ પગલા પછી સુરક્ષિત API કૉલ કરીને ચકાસો.
• પ્રયાસ મર્યાદા નહીં. અમર્યાદિત અનુમાન કોડને બ્રૂટ-ફોર્સ કરી શકાય તેવો બનાવે છે.
• સાદા લખાણમાં સિક્રેટ કે રિકવરી કોડ. ડેટાબેઝ લીક થાય તો દરેકનું બીજું ફેક્ટર મળી જાય.
• ચકાસ્યા પહેલાં ચાલુ કરવું. જેમનું સ્કેન ખોટું થયું તે આગળના લૉગ-ઇન વખતે લૉક આઉટ થાય છે.
• રિકવરી માર્ગ નહીં. દરેક ખોવાયેલો ફોન સપોર્ટ ટિકિટ અથવા ગુમાવેલો ગ્રાહક બને છે.
• સરળ બંધ કરવું. ચોરાયેલું સેશન કોડ વગર 2FA બંધ કરી શકે તો સુરક્ષા ખતમ.
• લૉગમાં કોડ. ખાતરી કરો કે કોડ અને સિક્રેટ ક્યારેય સર્વર લૉગ કે ભૂલ સંદેશમાં ન દેખાય.
• ફક્ત લૉગ-ઇન પેજ પર તપાસ. પાસવર્ડ રીસેટ, "magic link" સાઇન-ઇન અને કોઈપણ સોશિયલ લૉગ-ઇને પણ 2FA નું પાલન કરવું જોઈએ, નહીંતર તે તેને બાયપાસ કરવાનો રસ્તો બની જાય.

ટેસ્ટિંગ ચેકલિસ્ટ

• નોંધણી ફક્ત માન્ય કોડ પછી પૂરી થાય
• સાચો પાસવર્ડ પણ કોડ વગર કોઈપણ સુરક્ષિત પેજ કે API પર ઍક્સેસ ન આપે
• ખોટો કોડ નકારાય; વારંવાર ખોટા કોડ લૉકઆઉટ અને ઇમેઇલ ટ્રિગર કરે
• થોડી મિનિટ જૂનો કોડ નકારાય
• દરેક રિકવરી કોડ બરાબર એક વાર કામ કરે
• 2FA બંધ કરવા માટે પાસવર્ડ અને હાલનો કોડ જોઈએ
• પાસવર્ડ રીસેટ 2FA ને બાયપાસ ન કરે
• 2FA વગરના એડમિન એડમિન પેજ સુધી ન પહોંચી શકે (જો ફરજિયાત હોય)
• સિક્રેટ અને રિકવરી કોડ ડેટાબેઝમાં એન્ક્રિપ્ટેડ કે હૅશ થયેલા છે
• લૉગમાં કોઈ કોડ કે સિક્રેટ દેખાતા નથી

લૉન્ચ પહેલાં AI થી બનેલી એપ માટે સુરક્ષા ચેકલિસ્ટ પણ પૂરી ચલાવો.

Mythex પર 2FA ઉમેરવું

Mythex તમારી એપના અંતિમ વપરાશકર્તાઓ માટે બિલ્ટ-ઇન લૉગ-ઇન સિસ્ટમ શામેલ કરતું નથી, તેથી 2FA એ તમે પસંદ કરેલા ઑથ અભિગમનો ભાગ છે: પ્રોજેક્ટનો ડેટાબેઝ વાપરતું તમારું પોતાનું ઇમેઇલ-અને-પાસવર્ડ લૉગ-ઇન, અથવા મલ્ટી-ફેક્ટર સપોર્ટવાળો હોસ્ટેડ પ્રદાતા. ઉપરના જેવા પ્રોમ્પ્ટ વાપરીને ચેટમાં તમને જે જોઈએ તે વર્ણવો, અને કોઈપણ પ્રદાતા કી મેસેજ બૉક્સમાં નહીં પણ પ્રોજેક્ટ સિક્રેટમાં જાય છે (/secrets દ્વારા, પ્રોજેક્ટ સેટિંગ્સ દ્વારા, અથવા એજન્ટ બતાવે તે સિક્રેટ્સ કાર્ડ દ્વારા). દસ્તાવેજની રેસિપી તમારી એપમાં લૉગ-ઇન ઉમેરો માં સ્ટાર્ટર પ્રોમ્પ્ટ છે, અને તમે બનાવેલી એપ માટે સુરક્ષા કી અને પરવાનગીઓની આસપાસની ટેવો આવરી લે છે. એજન્ટ પૂરું કર્યા પછી, પબ્લિશ કરતા પહેલાં Preview માં ચેકલિસ્ટની દરેક વસ્તુ ચકાસો.

પ્રશ્નો