Security

Страница Security с заголовком Sign-in and security хранит настройки тенанта, которые auth читает при входе пользователя и выпуске токенов. Сначала выберите тенант в боковой панели: все настройки на странице относятся к нему. Тексты одноразовых кодов лежат на странице OTP templates, типы authorization_details — на странице Authorization details, а политика паролей, которая действует на все развертывание, — в System settings.

Перед началом

Без security:manage страница доступна только для чтения: кнопок Edit нет.

Центральный сервис хранит настройки, а auth загружает их через синхронизацию конфигурации, поэтому сохраненное изменение доходит до auth после очередного обновления, а не мгновенно. Все, что описано на этой странице, действует в auth; edge эти настройки не читает. Тенант, созданный в консоли, получает значения по умолчанию из таблиц ниже.

Как устроена страница

Страница — колонка карточек. Каждая карточка показывает одну группу настроек и имеет свою кнопку Edit. Рейка слева с заголовком On this page переходит к нужной карточке; при ширине меньше 1200 px она превращается в выпадающий список. В заголовке два бейджа: ID тенанта и его профиль безопасности (FAPI 2.0 или Standard).

×

Edit открывает группу на отдельной странице с заголовком вроде Edit sessions и кнопками Cancel и Save sessions внизу. Сохранение отправляет только настройки этой группы, поэтому оно не перезаписывает то, что другой администратор тем временем изменил в другой группе. Двое администраторов, правящих одну и ту же группу, по-прежнему перезаписывают друг друга: побеждает последнее сохранение. Первое сохранение для тенанта, у которого еще нет настроек, создает всю запись со значениями по умолчанию. Если выйти со страницы редактирования с несохраненными правками, консоль попросит подтверждение.

У тенанта без настроек страница показывает No security settings yet и кнопку Set up settings, которая открывает Passkeys (WebAuthn). Настройки passkey нужны, чтобы сохранить любую другую карточку, поэтому сначала задайте их.

Sign-in methods

Карточка перечисляет идентификаторы, по которым пользователь может войти, и заголовок с IP клиента.

×

Phone numbers

Каждая строка — одна страна:

По умолчанию список пуст: на вход принимается любой номер E.164, а по телефону никто не регистрируется. Регионы могут делить один код: у KZ и RU оба +7, а regex — 7\d{9} и 9\d{9}. Номер принимается, если его длина и regex подходят хотя бы одному региону. Тенант с обоими регионами принимает номера +77… и +79…, только с RU — +79…, только с KZ — +77…. Кнопки ↑ и ↓ двигают строку; порядок строк — порядок, в котором форма входа показывает коды. В режиме чтения каждый регион показан тегом вроде KZ +7 · 10 digits, а регионы, разрешающие регистрацию, перечислены в одном теге sign-up:.

+ Add region добавляет пустую строку. Add from presets открывает Add countries — список готовых стран (код, телефонный код, длина и шаблон номера). Отметьте нужные, найдите их по названию, коду или телефонному коду и подтвердите Add selected: они добавятся в конец списка с включенным Sign-up, а уже перечисленная страна пропускается. Чтобы закрыть регистрацию для страны, снимите Sign-up в ее строке. Шаблоны пресетов намеренно свободные, кроме KZ и RU; чтобы сузить шаблон, отредактируйте строку. auth проверяет, что номер настоящий для своей страны.

Номера телефонов хранятся и сравниваются в каноническом виде E.164, и список проверяется именно по нему: +787011234567 (с национальным префиксом «8» после кода страны) до проверки превращается в +77011234567. Тот же список действует на login_hint с номером телефона. Central отвечает 400 на сохранение, в котором список нарушает правило выше.

На форме входа список определяет, что видит пользователь:

• Регионов нет: обычное поле телефона, номер вводится с +.
• Один код (один регион или несколько с общим кодом): код показан перед полем номера и не меняется.
• Несколько кодов: выбор из уникальных кодов в порядке списка. Начиная с шести кодов в выборе есть поиск по названию страны, коду ISO и телефонному коду. Если вставить номер, начинающийся с +, код выбирается сам.

Форма проверяет номер до отправки, и auth проверяет его еще раз, поэтому запрос в обход формы тоже отклоняется.

Email

Адреса email принимаются на вход у любого тенанта; карточка лишь показывает режим регистрации, который задается в Registration.

Client IP header

Header — имя HTTP-заголовка, в котором ваш reverse proxy передает настоящий IP клиента. auth использует его для ограничения по IP и берет первое значение, если в заголовке список через запятую. По умолчанию X-Real-IP. В списке есть X-Real-IP (nginx), X-Forwarded-For (other proxies) и Custom…. Свое значение не может быть пустым. Если заголовка в запросе нет, у auth нет IP, по которому можно считать лимит.

One-time codes

Карточка показывает длину генерируемого кода и сколько пользователь ждет, прежде чем запросить новый. Текст сообщения лежит на странице OTP templates.

×

Длительности на этой странице вводятся числом и единицей: seconds, minutes, hours или days. В режиме чтения карточка показывает их кратко, например 15m или 1d; полное значение в секундах видно во всплывающей подсказке.

Passkeys (WebAuthn)

×

Пока relying party ID, имя или список origin пусты, консоль не дает сохранить группу. Passkey, зарегистрированный для одного relying party ID, не работает под другим, поэтому на работающей системе Relying party ID меняйте осторожно.

Registration

Карточка хранит правило для email и роли нового аккаунта. Новый тенант начинает с Closed для email и с ролью user. Регистрация решается для всего тенанта; у клиента для нее нет переключателя. Номер телефона регистрируется, когда у его региона включен Sign-up, а email — по режиму ниже, через какой бы клиент ни пришел пользователь. Тенант без регионов пускает любой номер на вход, но не регистрирует ни один номер телефона.

×

Какие клиенты предлагают регистрацию, определяет их вход. Клиент, у которого первый экран просит email или телефон и не просит рядом логин или пароль, предлагает регистрацию, когда тенант разрешает этот credential. Новый пользователь подтверждает адрес одноразовым кодом и, если вход клиента требует пароль, задает его. Адрес, который тенант не разрешает регистрировать, или уже зарегистрированный идет по обычному пути входа и ничего не узнает об аккаунте.

Роль из Default roles удалить нельзя. Central отвечает 409, а консоль делает действие удаления этой роли неактивным, пока вы не уберете ее из списка. В режиме чтения роли по умолчанию показаны ссылками на роль.

Warning: Регионы заменили прежний список префиксов телефонов (allowedPrefixes), а сохраненные префиксы не переносятся: префикс не задает ни длину, ни шаблон. Тенант, у которого были префиксы, принимает любой номер на вход и не регистрирует ни один номер телефона, пока вы не добавите регионы с включенным Sign-up. Переключатель саморегистрации у клиента тоже убран, а его содержимое при миграции настроек переехало сюда: тенант, у которого был клиент с регистрацией по email, начинает с Open (ничего не блокируется), остальные тенанты — с Closed, а Default roles — это роли, которые выдавали эти клиенты. Регистрация теперь задается для тенанта, поэтому каждый клиент такого тенанта, который входит по email, теперь дает любому зарегистрироваться. Проверьте режим до обновления.

Step-up (ACR vocabulary)

Карточка сопоставляет имена ACR факторам аутентификации, которые они требуют. Клиент запрашивает ACR параметром acr_values. В каждой строке — имя ACR (например, company_mfa) и флажки факторов otp, password и passkey. Нужны имя, которое не повторяется, и хотя бы один фактор, иначе консоль не даст сохранить. По умолчанию записей нет. Те же имена доступны как варианты Step-up ACR у ресурсов, см. Ресурс.

×

Branding

Branding хранит логотип, который показывается без подложки над карточкой входа клиентов этого тенанта, и favicon его страниц входа: вход, одноразовый код, пароль, согласие и экраны ошибок. Это пара файлов, по одному на каждую цветовую схему:

Карточка показывает каждый файл на светлой и на темной подложке. Страница следует выбору посетителя Auto, Light или Dark, поэтому логотип переключается вместе с ней. Если пары нет, экраны показывают словесный знак Versola; так же — если не загрузился любой из двух файлов. Favicon следует схеме самого браузера: светлый файл в светлом браузере, темный — в темном.

×

×

По умолчанию пусто. Развертывание, обновленное с релиза с одним общим логотипом, начинает с этого файла в обоих полях каждого тенанта; замените его настоящей парой.

Sessions

×

У тенанта с профилем FAPI 2.0 на странице есть еще заблокированная заметка Rule set by the profile: access-токены привязаны к отправителю (DPoP или mTLS).

Tokens & keys

×

Signing key

Signing key выбирает ключ JWKS, которым подписываются access-токены, ID-токены и logout-токены этого тенанта. В списке только ключи, для которых Central хранит закрытую часть, в виде kid · algorithm. Ключи, опубликованные только для проверки, в списке не появляются. Ключи генерируются на странице Keys & metadata; карточка в режиме чтения ссылается на выбранный ключ там.

Новый тенант получает предпочтительный из доступных для подписи ключей: сначала PS256, потом ES256, при равенстве — с наибольшим kid. Если такого ключа нет, тенант работает на настроенном ключе. Ключи RS256 в списке только у тенанта с профилем безопасности Standard. На тенанте FAPI 2.0 Central их отклоняет (Key '<kid>' signs RS256 ... Select a PS256 or ES256 key instead). Профиль фиксируется при создании тенанта, см. Профили безопасности. Еще отказы бывают для неизвестного kid и для ключа «только для проверки».

Чтобы перевести развертывание, подписывающее RSA-ключом, на ES256, сгенерируйте ключ ES256 и выберите его здесь; шаги — на странице Keys & metadata.

Когда вы переводите тенант на только что созданный ключ, auth начинает подписывать им лишь после синхронизации. До этого он продолжает подписывать прежним ключом, так что выпуск токенов не прерывается.

Client assertion lifetime

Client assertion lifetime ограничивает, насколько далеко в будущем client assertion для private_key_jwt может поставить exp (RFC 7523). auth помнит jti каждого assertion до его истечения, поэтому больший срок стоит места в хранилище, а меньший отклоняет клиентов, которые выпускают долгоживущие assertion.

DPoP

Require a DPoP nonce on every proof требует, чтобы каждое DPoP-доказательство от клиентов этого тенанта к /token и /userinfo содержало nonce, выданный сервером (RFC 9449, раздел 8). На запрос без nonce сервер отвечает use_dpop_nonce и свежим nonce в заголовке DPoP-Nonce, и клиент должен повторить запрос. Карточка в режиме чтения пишет Required on every proof или Not required. По умолчанию выключено.

Включайте, только когда все DPoP-клиенты тенанта умеют повторять запрос после use_dpop_nonce: клиент без этого перестанет получать и обновлять токены. Клиенты без DPoP не затрагиваются. Выключение действует сразу и ничего не ломает. Настройка относится только к собственным endpoint auth; вызовы через edge подчиняются собственной настройке DPoP Nonce этого edge на экране Edges. См. Токены с привязкой к отправителю.

Mutual TLS

Флажок Mutual TLS — This tenant’s reverse proxy terminates mutual TLS — сообщает auth, что прокси перед этим тенантом запрашивает клиентский сертификат и передает его в заголовке. Когда флажок включен, выберите, где приходит сертификат:

Для этого заголовка нет стандарта, поэтому оба значения должны точно совпадать с настройкой вашего прокси. Заголовок и кодировка сохраняются вместе; при выключенном флажке очищаются оба, а карточка в режиме чтения пишет Not terminated by the reverse proxy. По умолчанию выключено.

Warning: Central откажется регистрировать клиента с mTLS-субъектом, пока у тенанта не задан заголовок сертификата. Ошибка: mtlsAuth needs the client's tenant to set mtlsCertificateHeader - without it no certificate ever reaches auth for this client. Это относится к Web app, созданному в мастере (сертификат выдает edge, а Central записывает субъект), и к любому клиенту, которого переключили на credential mTLS. Mobile or desktop app за edge исключен: он обращается к auth на отдельном mTLS-слушателе, который читает сертификат из рукопожатия, и заголовок не нужен. Включите Mutual TLS и сохраните, прежде чем создавать такого клиента. См. Клиент и Токены с привязкой к отправителю.

Logout

Post-logout redirect URIs — список адресов, на которые /logout может отправить пользователя после выхода. Relying party должна передать один из них символ в символ как post_logout_redirect_uri (OpenID logout). Каждая запись проходит ту же проверку, что и redirect URI клиента; отклоненная запись блокирует сохранение, а в ошибке указано, какая именно. По умолчанию пусто, поэтому ни одна relying party не может его запросить.

×

Submission limits

Submission limits ограничивают повторные попытки. В режиме чтения каждая категория показана плашками вроде 5 per 15m или No limit, плюс длительность блокировки.

×

Блокировку запускает только самое длинное окно категории. Более короткие окна отвечают немедленным ограничением частоты. Оба числа окна не меньше 1. Значения по умолчанию для тенанта, созданного в консоли:

Категория без единого окна не ограничивается вообще. Если у тенанта в auth нет строки настроек, применяются значения из таблицы. Пользователя, попавшего под лимит, можно освободить кнопкой Reset Limits на его карточке, см. Пользователь.

Security profile

Последняя карточка, Security profile, только для чтения и помечена Fixed: профиль выбирается при создании тенанта. Она сообщает, что тенант FAPI 2.0 (для каждого клиента обязательны PAR, PKCE S256 и токены с привязкой к отправителю) или Standard (клиенты сами выбирают защиту). См. Тенант и Профили безопасности.

Что дальше

• OTP templates — тексты одноразовых кодов и временных паролей
• Authorization details — регистрация типов authorization_details
• Keys & metadata — генерация и публикация ключей подписи
• Профили безопасности и Токены с привязкой к отправителю