Políticas de segurança

Uma conta entra em todos os clients do seu realm com as mesmas credenciais, então as regras dessas credenciais — nome de usuário, senha e bloqueio — são definidas uma vez por realm. Quem pode entrar numa aplicação específica, e a partir de quais redes, é definido por client. Decisões sobre uma pessoa, como aprovar um endereço ou suspendê-la, são tomadas por conta.

Mudanças nas regras de conta valem a partir do próximo login ou troca de senha. As telas hospedadas leem as mesmas regras, então as dicas ao lado de um campo de senha sempre batem com o que o servidor aplica.

Nomes de usuário

Regras de senha

As regras valem em todo lugar onde uma senha é gravada: uma conta criada por um administrador, uma troca de senha, uma redefinição, uma senha acrescentada a uma conta que veio de um provedor de identidade.

Senhas vazadas

Com Bloquear senhas vazadas ligado, uma senha nova é conferida contra a base Have I Been Pwned por k-anonimato: só os cinco primeiros caracteres do hash SHA-1 da senha saem do Authio, nunca a senha. Se a consulta não responder em três segundos, a senha é aceita em vez de travar a pessoa.

Reuso e renovação

• Bloquear reuso de senha recusa uma senha nova igual a qualquer uma das últimas Senhas lembradas. A senha atual sempre conta como recente.
• Exigir renovação de senha faz as senhas expirarem depois de Renovar a cada (dias). Depois de digitar a senha certa, quem está com a senha expirada é levado a renová-la: a tela explica o motivo e envia um link de redefinição para o e-mail da pessoa.

Bloqueio

Uma senha errada e um código por e-mail errado contam. Uma conta bloqueada é recusada mesmo com a senha certa; a tela de login informa a duração e o número de tentativas do próprio realm, e sugere redefinir a senha para entrar antes. No console, a página do usuário mostra Bloqueado até com o horário.

Confirmação de e-mail

Uma conta não entra até que o endereço de e-mail dela seja confirmado, qualquer que seja o caminho: senha, passkey, push ou provedor de identidade. A exceção é a conta sem senha criada por um provedor de identidade, cujo endereço é confirmado quando o provedor é confiável e declarou tê-lo verificado.

• Quando um administrador cria uma conta, o interruptor E-mail confirmado pula o e-mail de confirmação. Desligado, a pessoa recebe um link e só entra depois de segui-lo.
• Um administrador reenvia o link com Reenviar e-mail de confirmação na página do usuário.
• Quem tenta entrar sem confirmar recebe a oferta Reenviar o e-mail de confirmação — só depois de digitar a senha certa. Veja Autoatendimento da conta.

Quem pode entrar num client

As contas pertencem ao realm, não a um client. Cada client decide quais delas admite com Restringir a contas vinculadas, em Quem pode entrar, na Configuração dele:

Conceda ou retire o acesso pela lista de usuários da aba Acesso do client. Uma conta cuja situação não é Ativa não entra em lugar nenhum, e mudar a situação encerra todas as sessões dela.

Aprovação de endereço novo

Cada conta só pode ser usada a partir de endereços que ela já usou ou que alguém aprovou. O primeiro endereço de onde uma conta entra é confiado automaticamente e vira a referência dela. Depois disso, um login vindo de um endereço que a conta nunca usou fica em espera, mesmo com a senha certa, até alguém responder “foi você?”. Isso protege contra credenciais vazadas, tenha a pessoa cadastrado um segundo fator ou não.

1. 1

   O login espera

   A tela mostra Confirme este local, diz pelo que está esperando e segue sozinha no instante em que o endereço é aprovado — sem pedir a senha de novo.

2. 2

   O titular da conta é perguntado

   Pelo canal de aprovação do client (abaixo): um e-mail Foi você? com Sim, fui eu e Não, bloquear este endereço, válido por 24 horas, ou um pedido no app do Authio com o número mostrado na tela. Abrir o link do e-mail não decide nada; só o botão decide, então robôs de e-mail que seguem links não aprovam nada.

3. 3

   Administradores também podem responder

   Os operadores são notificados, e Aprovações de IP lista todos os endereços retidos dos realms em escopo, com Aprovar, Bloquear e, para um já aprovado, Revogar. A aba Atividade de cada usuário mostra os endereços daquela conta.

Um endereço recusado pelo titular fica recusado para sempre, e os operadores recebem uma notificação crítica: quem tentou conhece a senha. Um endereço recusado nunca gera uma nova pergunta, então não serve para inundar o titular de e-mails. Nada é apagado: revogar transforma um endereço aprovado num recusado.

Canal de aprovação

O Canal de aprovação, na Configuração do client, decide como o titular é perguntado sobre um endereço novo e sobre uma redefinição de senha:

O canal não muda o segundo fator: o código do login continua indo para a caixa de entrada e para todo celular pareado.

Restringir um client a redes conhecidas

Um client pode admitir logins só das redes que você listar — um escritório, um gateway de VPN, runners de CI. Na aba Segurança do client, em Rede:

• As entradas são endereços IPv4 ou IPv6 ou blocos CIDR como 203.0.113.0/24, cada um com um rótulo.
• Você pode montar a lista com o client ainda aberto e restringir depois. Restringir com a lista vazia é recusado.
• Remover um endereço não encerra as sessões já abertas a partir dele.
• A restrição vale para pessoas entrando — login hospedado, password grant e aprovação de dispositivo —, não para identidades de máquina no endpoint de token.

Suspensões

Uma suspensão tira todo ou parte do acesso de uma pessoa a um client por um período, sem desativar a conta. Crie uma em Suspensões ou pela página do usuário, em Usuários:

• Escolha o que acontece com as sessões abertas: Manter sessões, Desconectar agora ou Desconectar no início. Uma suspensão total sempre desconecta a pessoa.
• O motivo é obrigatório. Mostrar o motivo na tela de login vem desligado, porque o motivo é escrito para quem revisa.
• O acesso é decidido pelas datas a cada verificação, então a suspensão vale desde o primeiro segundo. Várias suspensões se somam, e a tela de login informa o fim mais distante.
• Uma suspensão nunca é editada: para mudar, encerre-a com um motivo e crie outra. As duas ficam no histórico.

Próximos passos