Kendi Kimlik Altyapımız: Uygulamalar Arası Tek Oturum

Detaylar

Birden fazla uygulama işleten bir yapıda her ürünün kendi giriş ekranını ve kendi parola tablosunu taşıması hem kullanıcıyı yorar hem de korunması gereken yüzeyi çoğaltır.

Kendi kimlik altyapımızda kullanıcı tek hesapla bağlı uygulamalara girer. E-posta adresini yazar, e-postasına gelen beş dakika geçerli, tek kullanımlık altı haneli kodu girer, ardından kendi belirlediği 8 ile 16 karakter arasındaki güvenlik koduyla doğrulamayı tamamlar. Klasik bir parola formu yok; güvenlik kodu da yalnızca Argon2id özeti olarak saklanıyor. Güvenilir cihazlar 90 gün hatırlanıyor. Telefonla giriş altyapısı hazır, ancak SMS sağlayıcısı bağlanana kadar kapalı.

Sistem yalnızca kimlik döner: kullanıcı kimliği, ad, e-posta ve telefon. Rol ve yetki bilgisi uygulamalara aktarılmıyor. Her uygulama yetkilendirmeyi kendi veritabanında, kimlik sağlayıcının verdiği değişmeyen kullanıcı kimliği üzerinden çözüyor. Böylece bir uygulamanın yetki modeli değiştiğinde kimlik katmanına dokunulmuyor.

Kimlik bilgisi bir uygulamaya ancak kullanıcının o uygulama için verdiği onayla aktarılıyor; kullanıcı bu onayı profilinden geri alabiliyor. Oturumlar gerçek etkinliğe göre yaşıyor; arka planda giden bir yoklama oturumu tek başına uzatmıyor. Bir hesap askıya alındığında ya da onay geri alındığında, bağlı uygulama bunu bir sonraki oturum yoklamasında öğreniyor.

Giriş denemeleri IP adresiyle kayda geçiyor; kullanıcı kendi giriş geçmişini profilinden görebiliyor. İstemediği kod e-postalarını alan kişi, e-postadaki bağlantıyla o adrese gönderimi durdurabiliyor. Yetkilendirme kodları tek kullanımlık ve otuz saniye geçerli; koda karşılık kimlik almak için uygulamanın kendi sırrı gerekiyor. Altyapı ayrıca TLS 1.3, şifreli saklanan e-posta adresleri, Cloudflare Turnstile ve dört katmanlı hız sınırlamasıyla korunuyor.