Verificação adicional

Uma segunda etapa, depois da senha

Uma passkey aqui é um segundo fator e nunca uma forma de fazer login sozinha: a página de login não oferece opção de passkey. Uma chave de segurança pode ser usada no lugar. A verificação adicional confere a senha primeiro, então só um usuário que tem senha pode cadastrar um fator ou comprová-lo.

Antes de uma operação sensível

Uma operação pode exigir um segundo fator. Você define a exigência com foir operations update e sua flag --second-factor (a exigência chega à produção na próxima release). Uma execução cuja sessão não comprovou um fator é recusada com FAILED_PRECONDITION e uma mensagem que você mesmo pode redigir. Uma operação que carrega a exigência não pode ser iniciada por um hook nem por um agendamento.

A cada login em um app

Cada app de login tem uma chave Exigir MFA no console. Com ela ligada, um login com senha na página hospedada só se completa depois que o usuário comprova um fator. Um usuário sem nenhum cadastra um durante esse login, com uma passkey ou escaneando um QR code em um app autenticador.

A chave também deixa de fora quem não tem senha. Usuários que fazem login com um código enviado por e-mail ou por meio de um provedor de identidade não conseguem fazer login nesse app.

Verificação adicional sem sair

Um usuário logado pode cadastrar ou fazer a verificação adicional no meio de uma sessão. Ele digita a senha de novo e comprova o fator, e a prova é adicionada à sessão que ele já tem. Isso exige uma sessão em um domínio de login personalizado, e ele precisa estar verificado. Um app no fluxo de token não tem essa sessão, e seus usuários obtêm um segundo fator fazendo login de novo por um app que o exige.