HonkIO Auth

Vérification en deux étapes

Une clé d’accès, ou un code sur le canal qui n’a pas servi à la connexion. Exigez-la pour une application, une organisation ou un rôle, et servez-vous-en pour une confirmation renforcée.

La seconde étape

Pro et Affaires. La seconde étape est une clé d’accès, ou un code envoyé sur le canal qui n’a pas servi à la connexion : un courriel après un texto, un texto après un courriel. Une connexion par clé d’accès compte déjà pour les deux étapes : on ne demande jamais de code en plus aux utilisateurs de clés d’accès. Une fois les deux étapes faites, le amr du jeton d’identité inclut mfa et son acr vaut urn:honkio:acr:2fa.

L’exiger

Exigez-la pour toute l’application avec two_step_required dans la politique de connexion (Pro et Affaires), ou, avec Affaires, pour une organisation ou un rôle avec leur propre two_step_required. Un utilisateur qui se connecte à une organisation qui l’exige, ou qui a un rôle qui l’exige, franchit les deux étapes. Exigée veut dire exigée : si la deuxième étape de l’utilisateur ne peut pas servir à ce moment (textos en pause ou limite quotidienne atteinte), HonkIO lui propose sa clé d’accès s’il en a une; sinon, la connexion s’arrête sur une page « Impossible de terminer votre connexion pour le moment ». Une connexion ne se termine jamais en une seule étape.

Première configuration

Quand vous activez l’exigence, chaque utilisateur configure sa seconde étape à sa prochaine connexion. Quiconque contrôle son premier canal à ce moment peut la configurer : activez-la donc tôt, avant d’avoir beaucoup d’utilisateurs, ou demandez d’abord aux utilisateurs d’ajouter une clé d’accès.

Changer de méthode de connexion

Dès qu’un utilisateur a deux étapes, ajouter, changer ou retirer une méthode de connexion (courriel, téléphone ou clé d’accès) exige les deux. Chaque changement est signalé à l’ancien courriel ou téléphone et met fin aux sessions de l’utilisateur.

Confirmation renforcée des actions sensibles

Avant une action sensible, faites repasser l’utilisateur par la connexion avec acr_values=urn:honkio:acr:2fa et max_age=0. HonkIO redemande les deux étapes, même dans une session existante. Vérifiez ensuite le nouveau jeton d’identité : acr doit valoir urn:honkio:acr:2fa et auth_time doit être récent.

authorize

https://login.acme.ca/authorize?client_id=hka_xxxxxxxxxxxx
  &response_type=code&scope=openid%20email
  &redirect_uri=https%3A%2F%2Fapp.acme.ca%2Fauth%2Fcallback
  &code_challenge=…&code_challenge_method=S256&state=…&nonce=…
  &acr_values=urn%3Ahonkio%3Aacr%3A2fa&max_age=0
# Then check the ID token: acr == "urn:honkio:acr:2fa" and auth_time is recent.