Verifica step-up

Un secondo passaggio, dopo la password

Qui una passkey è un secondo fattore e mai un modo per accedere da sola: la pagina di login non offre nessuna opzione passkey. Al suo posto si può usare una chiave di sicurezza. Lo step-up ricontrolla prima la password, quindi solo un utente che ha una password può registrare un fattore o dimostrarlo.

Prima di un'operazione sensibile

Una operazione può richiedere un secondo fattore. Imposti il requisito con foir operations update e il suo --second-factor flag, e arriva in produzione con la release successiva. Un'esecuzione la cui sessione non ha dimostrato un fattore viene rifiutata con FAILED_PRECONDITION e un messaggio che puoi formulare tu. Un'operazione che ha il requisito non può essere avviata da un hook o da una pianificazione.

A ogni login in un'app

Ogni app di login ha un interruttore Require MFA nella console. Quando è attivo, un login con password sulla pagina ospitata si completa solo dopo che l'utente ha dimostrato un fattore. Un utente che non ne ha nessuno lo registra durante quel login, con una passkey o inquadrando un codice QR con un'app di autenticazione.

L'interruttore esclude anche chi non ha una password. Gli utenti che accedono con un codice inviato per email o tramite un identity provider non possono accedere affatto a quell'app.

Step-up senza uscire

Un utente autenticato può registrare un fattore o fare lo step-up a metà sessione. Reinserisce la password e dimostra il fattore, e la prova viene aggiunta alla sessione che già possiede. Serve una sessione su un dominio di login personalizzato verificato. Un'app che usa il flusso token non ha una sessione di questo tipo, e i suoi utenti ottengono un secondo fattore accedendo di nuovo tramite un'app che lo richiede.