A autenticação de dois fatores, também conhecida como 2FA, verificação em duas etapas ou TFA (como sigla), é uma camada extra de segurança conhecida como “autenticação multifator”, que exige não apenas senha e nome de usuário, mas também algo que somente aquele usuário tenha consigo, ou seja, uma informação que só ele deveria saber ou ter imediatamente à mão - como um token físico - no nosso caso, um telefone. Um telefone ao qual tenha sido atribuído um número de telefone rastreável.
O tutorial a seguir explicará como configurar a autenticação de 2 fatores para o seu site novo ou existente.
Primeiramente, faça login na sua conta e encontre a tela de autenticação de dois fatores:
- Clique no bloco “Aplicativos”:
- Quando estiver na página Aplicativos, clique no bloco "Autenticação de 2 fatores (2 Factor Auth)":
- Na página "2 Factor Auth" (Autenticação de 2 fatores), clique no botão "Create New" (Criar novo).
Estas são as opções que verá:
Segue-se uma explicação sobre as várias opções disponíveis:
1. Nome : nome desta instância de autenticação de dois fatores
2. Descrição : uma breve descrição
3. CallerID : Este é o CallerID que será utilizado ao efetuar chamadas de saída (se as chamadas de saída estiverem ativadas) .
4. SenderID : Este é o SenderID de SMS/Texto (número de origem) que será usado ao enviar mensagens SMS/de texto. Observe que, para EUA/Canadá, você precisaria ter um número de telefone habilitado para SMS em sua conta antes de poder selecionar esta opção.
5. Permitir discagem: Esta opção dará aos seus usuários finais/visitantes a opção de verificar seus números de telefone recebendo chamadas. Quando definido como "Sim" (Yes), outro conjunto de opções será exibido. Role para baixo para ver a descrição.
6. Comprimento do PIN : comprimento do PIN, por padrão 4 caracteres
7. URL para pedidos POST : Esta é uma das opções mais importantes que pode definir: é o URL que utilizaremos para lhe enviar as informações de autenticação/verificação. Tudo isto ocorre do lado do servidor, pelo que os seus utilizadores finais não conhecerão este URL.
8. URL local para POST (Local Post URL) : Este é o URL para o qual a nossa applet enviará pedidos POST na interface voltada para o cliente (para que a sua aplicação possa processar posteriormente as ações de registo ou de início de sessão do utilizador)
9. DIV ID : A nossa aplicação de autenticação 2Factor utilizará este ID de div para preencher a interface de utilizador (UI) integrada. Este deve ainda ser definido no código HTML da sua página como um DIV vazio .
Por exemplo, se definir o DIV ID como “2fa” , deve editar a sua página de início de sessão/registo e adicionar um div vazio como este :
. É aqui que o applet 2FA irá aparecer.
10. Tipo de autenticação : Você tem duas opções: “Post URL” (que acionará uma chamada para o URL/opção que explicamos acima em “7. POST URL”), e “Enable Directly”, que apenas permitirá que o formulário envie posteriormente para “8. Local Post URL” (menos seguro)
11. Domínio : você pode e deve restringir isto ao domínio usado pelo seu site. Se o seu site for www.test.com, restrinja o uso a esse domínio para que o aplicativo 2FA funcione somente nesse domínio.
12. Mostrar Captcha: Esta opção controla a apresentação do Captcha na interface de utilizador 2FA que se integra no website.
13. Número máximo de novas tentativas: Quantas novas tentativas devemos permitir por visitante?
14. Identificador Único : Este é o identificador único que irá utilizar para este applet 2FA pronto a integrar. Explicaremos como utilizá-lo mais tarde (continue a ler este artigo :) )
15. Número máximo de reenvios de SMS : Quantas vezes devemos permitir que o usuário final tente reenviar o SMS?
16. Número máximo de novas tentativas de chamada : Quantas vezes devemos permitir que o usuário final tente novamente ligar para o seu número?
17. Mensagem SMS : Permite-lhe enviar uma mensagem SMS configurável (opção ainda não disponível)
18. Link de ajuda : Este será o link de ajuda exibido no miniaplicativo incorporável de 2FA. Se nenhum for especificado, nada será exibido.
Quando "Allow Dialing" (permitir chamadas) está definido como yes (sim), ficam disponíveis as seguintes opções:
Segue-se uma explicação sobre as opções adicionais:
1. Escolha de áudio (Audio Choice) : permite escolher como o utilizador receberá o seu PIN de autenticação. As opções disponíveis são TTS e Audio . Selecionar Audio ocultará as opções «Conversão de texto em voz» (Text to speech) e «Idioma da conversão de texto em voz» (Text to speech language) e substituí-las-á por «Voz de áudio pré-gravada» (Prerecorded audio voice) (que tipo de voz devemos utilizar?) e «Idioma da voz pré-gravada» (Prerecorded audio voice language), como mostrado abaixo:
2. Conversão de texto em fala : se Escolha de áudio estiver definido como “TTS”, este é o texto que o mecanismo TTS lerá para o usuário final (cobranças de TTS se aplicam).
3. Idioma de conversão de texto em fala: Este será o idioma no qual a Conversão de Texto em Fala será lida.
4. Permitir a marcação de extensões (Allow extension dialing) : Se definido como sim (yes), o utilizador final poderá também introduzir o seu número de extensão (para que possa alcançar utilizadores finais através de IVRs, em vez de apenas utilizadores finais com números de telefone diretos)
5. Tarifa máxima por minuto : Como é você que paga as chamadas de saída, também tem a opção de limitar o custo por minuto associado a essas chamadas. Provavelmente não quer que os seus utilizadores finais se autentiquem através de telefones por satélite (seria muito caro, ui!)
6. Aguardar a saudação (Wait for hello) : Se estiver definido como "No" , o nosso sistema lerá o número PIN assim que a chamada for atendida. Se estiver definido como "Yes" , o nosso sistema esperará primeiro pelo primeiro "olá" (melhora de algum modo a taxa de entrega, mas pode levar alguns utilizadores a abandonar a chamada antes de ouvirem o número PIN - normalmente cerca de 3% dos utilizadores abandonam a chamada antes de ouvirem o PIN quando esta opção está ativada).
Quando terminar todas estas opções, clique no botão "Submeter". Lembra-se do "Identificador Único" que dissemos que explicaríamos mais tarde? Agora é altura de usá-lo (Reparou em "WHATEVERID" no script abaixo?)
Veja como implementar a autenticação em dois passos no seu site:
<!DOCTYPE html>
<head>
<title>2Factor Authentication test</title>
<script type="text/javascript">
(function(d, script) {
script = d.createElement('script');
script.type = 'text/javascript';
script.async = true;
script.onload = function(){
// remote script has loaded
};
script.src = 'https://api.multitel.net/tfa/js/WHATEVERID/WHATEVERCUSTOMER';
d.getElementsByTagName('head')[0].appendChild(script);
}(document));
</script>
</head>
<html>
<body>
<div id="multitel" width="100px"></div>
<body>
</html>Exemplo de código · Ver código-fonte
E isto é o que verá ao abrir essa página:
Conforme os usuários finais começam a digitar um número de telefone, o país começará a aparecer:
Para números dos EUA:
Para números do Reino Unido:
Os utilizadores finais podem agora clicar em “Enviar SMS (Send SMS)” ou “Chamada telefónica (Phone Call)”. Quando receberem a mensagem SMS/texto ou a chamada telefónica, podem introduzir o código recebido e clicar em “Verificar (Verify)”.
Se definido, enviaremos essa informação através de POST, juntamente com "WHATEVERCUSTOMERID"