Sms-gateway

Wat zonder gateway al werkt

De basis staat er zodra je de app draait: een authenticator-app als vaste factor, met tien eenmalige back-upcodes ernaast. Er is geen recht voor nodig, want het gaat over je eigen account. In de app van je collega staat de merknaam van jouw bureau als uitgever, want die komt uit Instellingen → Huisstijl; een white-label installatie noemt daar dus nooit een productnaam die de klant niet kent. Nieuwe back-upcodes aanvragen kost een actuele code uit de app, zodat een gestolen sessie in zijn eentje geen herstelcodes kan maken.

• Na acht mislukte pogingen gaat de factor vijftien minuten op slot.
• Een aanmeldpoging die op de codestap blijft hangen, verloopt na vijf minuten en stuurt je terug naar het wachtwoord.
• Een al geaccepteerde code werkt geen tweede keer, ook niet binnen dezelfde 30 seconden.
• Uitzetten kan alleen met je accountwachtwoord; een half afgemaakte instelling annuleren kost niets.

De sms-leg hoort bij de installatie, niet bij de organisatie

SCHAKL_SMS_GATEWAY_URL is configuratie van de instantie. Een bureau dat op de server van iemand anders draait, kan sms dus niet zelf aanzetten. Staat de variabele niet, dan is er geen blok Sms-codes, geen extra knop op de inlogpagina en antwoordt de API met 'Sms-codes zijn niet beschikbaar op deze installatie.' De tekst van het bericht komt uit de vertaalcatalogus, in de taal van de ontvanger zelf.

• Een sms-code is zes cijfers, tien minuten geldig, vijf pogingen, en werkt één keer.
• Opnieuw sturen kan pas na dertig seconden.
• Sms is nooit een losse factor: het nummer verwijderen laat een account nooit zonder tweede stap achter.
• Zonder afzender-id laat de API het veld leeg, zodat de gateway zijn eigen standaard gebruikt; een vaste productnaam zou de merknaam van je klant doorkruisen.

Telefoon kwijt

Dat lost een beheerder zelf op vanuit de ploeg: Instellingen → Team & gebruikers, het menu ⋯ op de rij van de collega, 'Tweestapsverificatie resetten'. Het account gaat terug naar aanmelden met alleen een wachtwoord, totdat het opnieuw wordt ingesteld. Het menu-item verschijnt alleen bij mensen die tweestapsverificatie aan hebben staan, en nooit op je eigen rij.

• De reset wist de inschrijving helemaal: het geheim, de back-upcodes en het telefoonnummer. Er wordt nooit een geheim uitgelezen.
• Elke reset wordt vastgelegd in het auditlogboek van de organisatie.
• De tweede factor hoort bij de persoon en niet bij de organisatie, dus een reset geldt overal waar dat account lid is. Op een gewone installatie met één organisatie is dat hetzelfde.

Met SSO verplicht regelt je provider de MFA

Verplicht je organisatie single sign-on, dan schakelt dat de hele tweestapsverificatie hier uit, inclusief het instellen ervan. Dat is de bedoeling: bij een federatieve sessie hoort de tweede stap bij je identiteitsprovider, en twee plekken die allebei een code vragen, leveren alleen verwarring op. Dit scherm is er dus voor bureaus die met een wachtwoord inloggen.