reCAPTCHA

Hvordan beskytter du login, registrering og nulstilling af adgangskode med Google reCAPTCHA?

Denne funktion er udviklet af ayaka-notes/ayakaleaf-pro og er tilgængelig fra og med v6.4.0.

Login med e-mail og adgangskode, LDAP-login, registrering og nulstilling af adgangskode kan kræve en Google reCAPTCHA v2 (usynlig). Den er slået fra som standard. De fleste brugere ser intet: kontrollen kører, når de trykker på knappen, og Google viser kun en billedudfordring, når anmodningen virker mistænkelig. SAML- og OIDC-logins samt konti, der er oprettet af en administrator, påvirkes ikke.

1. Opret i reCAPTCHA-administrationskonsollen en nøgle af typen reCAPTCHA v2, Invisible reCAPTCHA badge, og tilføj domænet for din instans. Et domæne dækker også dets subdomæner, f.eks. dækker example.com også latex.example.com.
2. Sæt de to nøgler i config/variables.env, og kør bin/up:

RECAPTCHA_SITE_KEY=<site key>
RECAPTCHA_SECRET_KEY=<secret key>

Variabel	Standard	Formål
RECAPTCHA_SITE_KEY	Ikke sat	Slår captcha til for login, LDAP-login, registrering og nulstilling af adgangskode.
RECAPTCHA_SECRET_KEY	Ikke sat	Den hemmelige nøgle for den samme reCAPTCHA-nøgle, som serveren bruger til at kontrollere svarene.
RECAPTCHA_ENDPOINT	https://www.google.com/recaptcha/api/siteverify	Hvor serveren kontrollerer svarene. Hvis www.google.com ikke kan nås, skal du bruge https://www.recaptcha.net/recaptcha/api/siteverify.
CAPTCHA_TRUSTED_USERS	Ikke sat	Kommaseparerede e-mailadresser, som serveren lukker igennem uden at kontrollere captchaen.
CAPTCHA_TRUSTED_USERS_REGEX	Ikke sat	Et regulært udtryk for sådanne e-mailadresser; det skal matche hele e-mailadressen.
DEVICE_HISTORY_SECRET	Ikke sat	64 hexadecimale tegn, f.eks. fra openssl rand -hex 32. Lader en browser, der har logget ind med en e-mailadresse, springe captchaen over for den e-mailadresse i 90 dage. Hvis den ikke er sat, får hvert login captchaen.

• Siderne indlæser reCAPTCHA-scriptet fra www.recaptcha.net, som også virker, hvor www.google.com er blokeret.
• Registrering og nulstilling af adgangskode spørger hver gang. LDAP-login spørger også hver gang, også med DEVICE_HISTORY_SECRET: det sender et brugernavn, ikke en e-mailadresse.
• Logins er fortsat også hastighedsbegrænsede: 20 forsøg i minuttet pr. IP-adresse og 10 forsøg pr. 2 minutter pr. e-mail.
• Ayakaleaf Pro kontrollerer kun, om Google accepterer svaret. Scorer og tærskler for reCAPTCHA v3 understøttes ikke, og Google bestemmer, hvornår der vises en udfordring.
• Hvis du vil prøve det, før du har en nøgle, kan du bruge Googles testnøgler: alle kontroller godkendes, og widgetten viser en advarsel, så brug dem ikke i produktion.