तुमच्या अ‍ॅपमध्ये टू-फॅक्टर ऑथेंटिकेशन (2FA) कसे जोडावे

तुमच्या अ‍ॅपमध्ये टू-फॅक्टर ऑथेंटिकेशन (2FA) जोडण्यासाठी, वापरकर्त्यांना QR code स्कॅन करून authenticator अ‍ॅप जोडू द्या, पासवर्डनंतर त्यात दिसणारा सहा-अंकी कोड विचारा, आणि तो कोड बरोबर असेल तेव्हाच सर्व्हरवर पूर्ण session तयार करा. 2FA चालू करताना प्रत्येक वापरकर्त्याला एकदाच वापरता येणारे recovery codes द्या, कोणी किती कोडचा अंदाज लावू शकतो ते मर्यादित करा, आणि 2FA बंद करण्यासाठी पासवर्ड आणि सध्याचा कोड दोन्ही आवश्यक करा. तुम्ही होस्ट केलेला auth प्रदाता वापरत असाल तर स्वतः बांधण्याऐवजी त्याचा अंगभूत multi-factor पर्याय चालू करा.

हे मार्गदर्शक पर्याय, नेमका प्रवाह, AI बिल्डरला देता येतील असे प्रॉम्प्ट्स, आणि 2FA असल्याचे दिसते पण काहीच करत नाही अशा चुका स्पष्ट करते. संकल्पना नवीन असेल तर टू-फॅक्टर ऑथेंटिकेशन म्हणजे काय ने सुरुवात करा.

सुरू करण्यापूर्वी: तुम्हाला काम करणारे लॉगिन हवे

2FA आधीपासून असलेल्या साइन-इनवर बसतो. तुम्हाला यापैकी एक आधी हवे:

• तुमचे स्वतःचे लॉगिन, वापरकर्ते आणि hashed पासवर्ड तुमच्या अ‍ॅपच्या डेटाबेसमध्ये साठवलेले.
• होस्ट केलेला auth प्रदाता जो तुमच्यासाठी वापरकर्ते व्यवस्थापित करतो.

तुमच्याकडे अजून दोन्हीपैकी काहीच नसेल तर तुमच्या अ‍ॅपमध्ये लॉगिन कसे जोडावे पासून सुरुवात करा. या मार्गदर्शकाचा उर्वरित भाग कार्यरत पासवर्ड पायरी आहे असे गृहीत धरतो.

दुसरा घटक निवडा

TOTP म्हणजे time-based one-time password, RFC 6238 हे मानक जे authenticator अ‍ॅप्स वापरतात. तुमचा सर्व्हर आणि वापरकर्त्याचा फोन एक secret सामायिक करतात; दोघेही त्या secret आणि सध्याच्या वेळेवरून एकच छोटा कोड तयार करतात, सहसा दर 30 सेकंदांनी बदलणारा. त्यासाठी इंटरनेट कनेक्शन किंवा SMS प्रदाता लागत नाही.

Passkeys पासवर्डची जागा किंवा पूरक म्हणून वापरकर्त्याच्या डिव्हाइसवर साठवलेली क्रिप्टोग्राफिक key वापरतात. त्या अधिक मजबूत आहेत पण स्वतः बांधणे अधिक काम आहे, म्हणून अनेक अ‍ॅप्स TOTP ने सुरुवात करतात आणि नंतर passkeys जोडतात, किंवा auth प्रदात्याकडून मिळवतात.

स्वतः बांधायचे की चालू करायचे?

तुमचा प्रदाता कोणते घटक आणि कोणत्या योजनांवर सपोर्ट करतो ते त्याच्या सध्याच्या दस्तऐवजात तपासा. दोन्हीपैकी कोणत्याही बाबतीत, कोड-निर्मितीचे गणित स्वतः कधीही लिहू नका; एक व्यापकपणे वापरली जाणारी लायब्ररी वापरा.

आधी धोरण ठरवा

प्रॉम्प्ट करण्यापूर्वी ही उत्तरे ठरवा, कारण ती डिझाइन बदलतात:

1. हे कोणाला बंधनकारक आहे? सर्वांसाठी ऐच्छिक, admins आणि staff साठी बंधनकारक, की सर्वांसाठी बंधनकारक. Admin अधिकार असलेल्या कोणालाही बंधनकारक करणे सामान्य आहे. भूमिका-आधारित प्रवेश नियंत्रण पहा.
2. वापरकर्त्यांना किती वेळा कोड पुन्हा टाकावा लागतो? प्रत्येक लॉगिनला, की प्रति डिव्हाइस 30 दिवसांसाठी ("हे डिव्हाइस लक्षात ठेवा").
3. कोणत्या क्रियांसाठी ताजी तपासणी हवी? ईमेल बदलणे, पेमेंट तपशील, किंवा 2FA बंद करणे हे चांगले उमेदवार आहेत. याला step-up authentication म्हणतात.
4. फोन हरवल्यास प्रक्रिया काय? Recovery codes, आणि तुम्ही चालवण्यास तयार असलेला मॅन्युअल बॅकअप.

टप्प्याटप्प्याने: तुमच्या स्वतःच्या लॉगिनवर TOTP 2FA

1. योग्य फील्ड्स साठवा

प्रत्येक वापरकर्त्याला हवे: 2FA चालू आहे का, TOTP secret (विश्रांतीमध्ये encrypted, साध्या मजकुरात नाही), ते कधी चालू केले, आणि recovery codes ची यादी hashed स्वरूपात, पासवर्डसारखी. अयशस्वी प्रयत्न मोजण्यासाठी जागाही ठेवा.

2. नोंदणी

1. वापरकर्ता Settings उघडतो आणि टू-फॅक्टर ऑथेंटिकेशन चालू करा क्लिक करतो.
2. सर्व्हर नवीन secret तयार करतो आणि QR code म्हणून परत देतो, स्कॅन न करू शकणाऱ्यांसाठी मजकूर आवृत्तीसह.
3. वापरकर्ता authenticator अ‍ॅपमध्ये स्कॅन करतो आणि सध्याचा कोड टाइप करतो.
4. सर्व्हर कोड तपासतो. तो बरोबर असेल तरच secret साठवतो आणि 2FA चालू म्हणून चिन्हांकित करतो.
5. अ‍ॅप 8–10 recovery codes एकदाच दाखवते आणि ते सेव्ह करण्यास सांगते.

पायरी 4 महत्त्वाची आहे: कोड न तपासता 2FA चालू केले तर स्कॅन चुकलेल्या कोणालाही पुढच्या लॉगिनला बाहेर ठेवले जाते.

3. दुसऱ्या पायरीसह लॉगिन

1. वापरकर्ता ईमेल आणि पासवर्ड सादर करतो. सर्व्हर ते तपासतो.
2. जर 2FA चालू असेल, तर सर्व्हर पूर्ण session तयार करत नाही. त्याऐवजी अल्प-कालीन "दुसरा घटक प्रलंबित" स्थिती तयार करतो.
3. अ‍ॅप कोड स्क्रीन दाखवते. सर्व्हर कोड तपासतो, घड्याळ विचलनासाठी थोडी खिडकी देत.
4. आता आणि तेव्हाच सर्व्हर खरे session जारी करतो.

प्रत्येक संरक्षित route आणि API endpoint ने प्रलंबित स्थिती नाकारली पाहिजे. फक्त ब्राउझरमध्ये पाने लपवणारी 2FA स्क्रीन API थेट कॉल करून वगळता येते.

4. मर्यादा आणि सूचना

सहा-अंकी कोडचे दहा लाख संयोजन असतात, जे मर्यादांशिवाय अंदाज लावता येतात. प्रयत्न मर्यादित करा, वारंवार अपयशानंतर काही काळासाठी दुसरी पायरी लॉक करा, आणि वापरकर्त्याला ईमेल करा. रेट लिमिटिंग आणि तुमच्या अ‍ॅपमधून ईमेल कसे पाठवावे पहा.

5. पुनर्प्राप्ती आणि बंद करणे

• Recovery code एकदाच काम करतो, मग हटवला जातो.
• 2FA बंद करण्यासाठी पासवर्ड आणि सध्याचा कोड किंवा recovery code आवश्यक.
• Recovery codes पुन्हा तयार केल्याने जुना संच रद्द होतो.
• 2FA चालू किंवा बंद केले की वापरकर्त्याला ईमेल करा.

तुमच्या AI बिल्डरला दिलेले प्रॉम्प्ट्स

मुख्य प्रवाहापासून सुरुवात करा:

आमच्या विद्यमान ईमेल आणि पासवर्ड लॉगिनला पर्यायी टू-फॅक्टर ऑथेंटिकेशन जोडा, authenticator अ‍ॅप्स (TOTP) वापरून. एका सुप्रसिद्ध TOTP लायब्ररीचा वापर करा, अल्गोरिदम स्वतः लिहू नका. Settings मध्ये QR code आणि मजकूर secret दाखवा, आणि वापरकर्त्याने वैध कोड टाकल्यानंतरच 2FA चालू करा. Secret encrypted साठवा आणि सेटअपनंतर पुन्हा कधीही दाखवू नका. 10 एकदाच वापरता येणारे recovery codes एकदाच दाखवा आणि ते hashed स्वरूपात साठवा.

नंतर अंमलबजावणी, जिथे तयार केलेला कोड सहसा कमी पडतो:

सर्व्हरवर अंमलबजावणी करा. बरोबर पासवर्डनंतर 2FA असलेल्या वापरकर्त्यांना पूर्ण session नव्हे तर अल्प-कालीन प्रलंबित स्थिती मिळते. प्रत्येक संरक्षित पान आणि API route ने प्रलंबित स्थिती नाकारली पाहिजे. कोड प्रयत्न 5 पर्यंत मर्यादित करा, मग दुसरी पायरी 15 मिनिटांसाठी लॉक करा आणि वापरकर्त्याला ईमेल करा.

मग धोरण:

Admin खात्यांसाठी 2FA बंधनकारक करा: 2FA नसलेल्या admin ला सेटअपकडे पाठवा आणि ते पूर्ण होईपर्यंत dashboard गाठू देऊ नका. 2FA बंद करण्यासाठी किंवा खात्याचा ईमेल बदलण्यासाठी पासवर्ड आणि सध्याचा कोड आवश्यक करा. 2FA चालू किंवा बंद झाल्यावर वापरकर्त्याला ईमेल करा.

शेवटी, एजंटला काय बांधले ते समजावण्यास सांगा:

प्रत्येक route यादी करा जी पूर्ण दुसरा घटक पूर्ण झाला आहे का ते तपासते, TOTP secret आणि recovery codes कुठे साठवले आहेत, आणि ते कसे संरक्षित आहेत.

सामान्य चुका

• पासवर्डनंतर session जारी करणे. सर्वात गंभीर बग. कोड तपासण्यापूर्वी पूर्ण session अस्तित्वात असेल तर 2FA फक्त सजावट आहे. फक्त पासवर्ड पायरीनंतर संरक्षित API कॉल करून तपासा.
• प्रयत्न मर्यादा नसणे. मर्यादा नसलेले अंदाज कोड brute-force करता येण्याजोगा बनवतात.
• साध्या मजकुरातील secrets किंवा recovery codes. डेटाबेस गळती झाली तर सर्वांचा दुसरा घटक हाती लागतो.
• तपासण्यापूर्वी चालू करणे. स्कॅन चुकलेल्या वापरकर्त्यांना पुढच्या लॉगिनला लॉक केले जाते.
• पुनर्प्राप्तीचा मार्ग नसणे. प्रत्येक हरवलेला फोन सपोर्ट तिकीट किंवा गमावलेला ग्राहक बनतो.
• सोपे बंद करणे. चोरलेले session कोड न देता 2FA बंद करू शकत असेल तर संरक्षण संपले.
• लॉगमध्ये कोड. कोड आणि secrets कधीही सर्व्हर लॉग किंवा एरर संदेशांमध्ये दिसणार नाहीत याची खात्री करा.
• फक्त लॉगिन पानावर तपासणे. पासवर्ड रीसेट, "magic link" साइन-इन आणि कोणतेही सोशल लॉगिन यांनी 2FA पाळणे आवश्यक, नाहीतर ते त्याला बगल देण्याचा मार्ग बनतात.

चाचणी चेकलिस्ट

• नोंदणी वैध कोड टाकल्यानंतरच पूर्ण होते
• बरोबर पासवर्ड पण कोड नसताना कोणत्याही संरक्षित पानाला किंवा API ला प्रवेश नाही
• चुकीचा कोड नाकारला जातो; वारंवार चुकीचे कोड लॉकआउट आणि ईमेल ट्रिगर करतात
• काही मिनिटांपूर्वीचा कोड नाकारला जातो
• प्रत्येक recovery code अगदी एकदाच काम करतो
• 2FA बंद करण्यासाठी पासवर्ड आणि सध्याचा कोड आवश्यक
• पासवर्ड रीसेट 2FA ला बगल देत नाही
• 2FA नसलेले admins admin पानांवर पोहोचू शकत नाहीत (बंधनकारक असल्यास)
• Secrets आणि recovery codes डेटाबेसमध्ये encrypted किंवा hashed आहेत
• लॉगमध्ये कोड किंवा secrets दिसत नाहीत

लाँचपूर्वी AI-निर्मित अ‍ॅप्ससाठी सुरक्षा चेकलिस्ट पूर्णपणे चालवा.

Mythex वर 2FA जोडणे

Mythex तुमच्या अ‍ॅपच्या अंतिम वापरकर्त्यांसाठी अंगभूत लॉगिन प्रणाली देत नाही, त्यामुळे 2FA ही तुम्ही निवडलेल्या auth पद्धतीचा भाग असते: प्रोजेक्टच्या डेटाबेसचा वापर करणारे तुमचे स्वतःचे ईमेल-आणि-पासवर्ड लॉगिन, किंवा multi-factor सपोर्ट असलेला होस्ट केलेला प्रदाता. वरील प्रॉम्प्ट्ससारखे प्रॉम्प्ट्स वापरून चॅटमध्ये तुम्हाला हवे ते सांगता, आणि कोणत्याही प्रदात्याच्या keys प्रोजेक्ट secrets मध्ये (/secrets द्वारे, प्रोजेक्ट सेटिंग्जद्वारे, किंवा एजंट दाखवणाऱ्या secrets कार्डद्वारे) जातात, मेसेज बॉक्समध्ये नव्हे. Add login to your app या docs रेसिपीमध्ये सुरुवातीचा प्रॉम्प्ट आहे, आणि Security for apps you build keys आणि परवानग्यांभोवतीच्या सवयी कव्हर करते. एजंट पूर्ण झाल्यावर, प्रकाशित करण्यापूर्वी Preview मध्ये चेकलिस्टवरील प्रत्येक मुद्दा तपासा.

प्रश्न