L'autenticazione a due fattori, nota anche come 2FA, verifica in due passaggi o TFA (come acronimo), è un ulteriore livello di sicurezza noto come "autenticazione a più fattori" che richiede non solo una password e un nome utente, ma anche qualcosa che solo ed esclusivamente quell'utente possiede, ovvero un'informazione che solo lui dovrebbe conoscere o avere immediatamente a portata di mano - come un token fisico - nel nostro caso, un telefono. Un telefono a cui è assegnato un numero di telefono tracciabile.
Il seguente tutorial spiegherà come configurare l'autenticazione a 2 fattori per il tuo sito web nuovo o esistente.
Innanzitutto, accedi al tuo account e trova la schermata di autenticazione a due fattori:
- Fai clic sul riquadro "Applicazioni":
- Una volta nella pagina Applicazioni, clicca sul riquadro "2 Factor Auth":
- Una volta nella pagina "2 Factor Auth" (Autenticazione a 2 fattori), fai clic sul pulsante "Create New" (Crea nuovo).
Ecco le opzioni che vedrai:
Ecco una spiegazione delle varie opzioni disponibili:
1. Nome : nome di questa istanza di autenticazione a due fattori
2. Descrizione : una breve descrizione
3. CallerID : Questo è il CallerID che verrà utilizzato per effettuare le chiamate in uscita (se le chiamate in uscita sono abilitate) .
4. SenderID : Questo è il SenderID SMS/testo (numero mittente) che verrà utilizzato per l'invio di messaggi SMS/di testo. Tieni presente che per USA/Canada devi avere un numero di telefono abilitato agli SMS nel tuo account prima di poter selezionare questa opzione.
5. Consenti composizione : questa opzione offrirà ai tuoi utenti finali/visitatori la possibilità di verificare i propri numeri di telefono ricevendo chiamate. Quando impostata su «Sì», verrà visualizzata un'altra serie di opzioni. Scorri verso il basso per la descrizione.
6. Lunghezza PIN : lunghezza del PIN, per impostazione predefinita 4 caratteri
7. URL per richieste POST : Questa è una delle opzioni più importanti che puoi impostare : è l'URL che useremo per inviarti le informazioni di autenticazione/verifica. Tutto avviene lato server, quindi gli utenti finali non conosceranno questo URL.
8. URL locale per POST (Local Post URL) : Questo è l'URL a cui la nostra applet invierà richieste POST sull'interfaccia rivolta al cliente (in modo che la tua applicazione possa elaborare ulteriormente le sue azioni di registrazione o accesso)
9. DIV ID : La nostra app di autenticazione a due fattori utilizzerà questo div id per popolare l'interfaccia utente incorporata nella pagina (UI). Questo deve inoltre essere definito nel codice HTML della tua pagina come DIV vuoto.
Ad esempio, se imposti DIV ID su "2fa", devi modificare la pagina di login/registrazione e aggiungere un div vuoto come questo:
. Qui apparirà l'applet 2FA.
10. Tipo di autenticazione : hai due opzioni: "Post URL" (che attiverà una chiamata all'URL/opzione illustrata sopra in "7. POST URL"), e "Enable Directly", che consentirà semplicemente al modulo di inviare ulteriormente a "8. Local Post URL" (meno sicuro)
11. Dominio : puoi e devi limitarlo al dominio utilizzato dal tuo sito web. Se il tuo sito web è www.test.com, limita l'uso a questo dominio in modo che l'app 2FA funzioni solo su questo dominio.
12. Mostra Captcha : Questa opzione controlla la visualizzazione del Captcha sull'interfaccia utente 2FA integrata.
13. Numero massimo di nuovi tentativi: Quanti nuovi tentativi è opportuno consentire per visitatore?
14. Identificatore univoco : Questo è l’identificatore univoco da utilizzare per questa applet 2FA pronta da integrare. Spiegheremo come usarlo più avanti (continua a leggere questo articolo :) )
15. Numero massimo di nuovi tentativi di invio SMS : Quante volte l'utente finale può riprovare a inviare l'SMS?
16. Numero massimo di nuovi tentativi di chiamata : Quante volte dovremmo consentire all'utente finale di riprovare a chiamare il suo numero?
17. Messaggio SMS : Consente di inviare un messaggio SMS configurabile (opzione non ancora disponibile)
18. Link di aiuto : Questo sarà il link di aiuto visualizzato nell'applet 2FA incorporabile. Se non specificato, non verrà mostrato nulla.
Quando "Allow Dialing" (consenti chiamate) è impostato su yes (sì), diventano disponibili le seguenti opzioni:
Ecco una spiegazione delle opzioni aggiuntive:
1. Scelta audio (Audio Choice) : ti permette di scegliere come verrà fornito all'utente il suo PIN di autenticazione. Le scelte disponibili sono TTS e Audio. Selezionando Audio, le opzioni "Sintesi vocale" (Text to speech) e "Lingua della sintesi vocale" (Text to speech language) verranno nascoste e sostituite da "Voce audio preregistrata" (Prerecorded audio voice) (quale tipo di voce dobbiamo usare?) e "Lingua della voce preregistrata" (Prerecorded audio voice language), come mostrato di seguito:
2. Sintesi vocale : se Scelta audio è impostato su «TTS», questo è il testo che il motore TTS leggerà all'utente finale (si applicano addebiti TTS).
3. Lingua di sintesi vocale : questa sarà la lingua in cui verrà letto il testo sintetizzato.
4. Consenti la composizione degli interni (Allow extension dialing) : Se impostato su sì, l'utente finale potrà inserire anche il proprio numero di interno (così potrai raggiungere gli utenti finali dietro gli IVR, anziché solo gli utenti finali con numeri di telefono diretti)
5. Tariffa massima al minuto : Dato che paghi le chiamate in uscita, hai anche la possibilità di limitare il costo al minuto associato a tali chiamate. Probabilmente non vuoi che i tuoi utenti finali si autentichino usando telefoni satellitari (sarebbe molto costoso, ahi!)
6. Attendi il saluto (Wait for hello) : Se impostato su “No”, il nostro sistema leggerà il PIN non appena si risponde alla chiamata. Se impostato su “Yes”, il nostro sistema attenderà prima il primo “pronto” (in qualche modo migliora la recapitabilità, ma può portare alcuni utenti ad abbandonare la chiamata prima di ascoltare il PIN: in genere circa il 3% degli utenti abbandona la chiamata prima di ascoltare il PIN quando questa opzione è abilitata).
Una volta completate tutte queste opzioni, fare clic sul pulsante "Submit". Ricorda il "Unique Identifier" che avevamo detto di spiegare più avanti? Ora è il momento di usarlo (Noti "WHATEVERID" nello script seguente?)
Ecco come implementare l'autenticazione in due passaggi sul tuo sito web:
<!DOCTYPE html>
<head>
<title>2Factor Authentication test</title>
<script type="text/javascript">
(function(d, script) {
script = d.createElement('script');
script.type = 'text/javascript';
script.async = true;
script.onload = function(){
// remote script has loaded
};
script.src = 'https://api.multitel.net/tfa/js/WHATEVERID/WHATEVERCUSTOMER';
d.getElementsByTagName('head')[0].appendChild(script);
}(document));
</script>
</head>
<html>
<body>
<div id="multitel" width="100px"></div>
<body>
</html>Esempio di codice · Visualizza sorgente
Ed ecco cosa vedrai quando aprirai quella pagina:
Mentre gli utenti finali iniziano a digitare un numero di telefono, il paese inizierà a essere visualizzato:
Per i numeri USA:
Per i numeri del Regno Unito:
Gli utenti finali possono ora fare clic su “Invia SMS (Send SMS)” o “Chiamata telefonica (Phone Call)”. Una volta ricevuto il messaggio SMS/di testo o la chiamata telefonica, possono inserire il codice ricevuto e quindi fare clic su “Verifica (Verify)”.
Se impostato, invieremo tali informazioni tramite POST, insieme a "WHATEVERCUSTOMERID"