reCAPTCHA

Miten kirjautuminen, rekisteröityminen ja salasanan palautus suojataan Google reCAPTCHAlla?

Tämän ominaisuuden on kehittänyt ayaka-notes/ayakaleaf-pro, ja se on saatavilla versiosta v6.4.0 alkaen.

Sähköpostiosoitteella ja salasanalla kirjautuminen, LDAP-kirjautuminen, rekisteröityminen ja salasanan palautus voivat vaatia Google reCAPTCHA v2:n (invisible). Se on oletuksena pois päältä. Useimmat käyttäjät eivät huomaa mitään: tarkistus suoritetaan, kun he painavat painiketta, ja Google näyttää kuvatehtävän vain, jos se pitää pyyntöä epäilyttävänä. SAML- ja OIDC-kirjautumiset sekä ylläpitäjän luomat tilit eivät vaikutu.

1. Luo reCAPTCHA-hallintakonsolissa avain, jonka tyyppi on reCAPTCHA v2, Invisible reCAPTCHA badge, ja lisää instanssisi verkkotunnus. Verkkotunnus kattaa myös sen aliverkkotunnukset, esim. example.com kattaa latex.example.com.
2. Aseta molemmat avaimet tiedostoon config/variables.env ja aja bin/up:

RECAPTCHA_SITE_KEY=<site key>
RECAPTCHA_SECRET_KEY=<secret key>

Muuttuja	Oletus	Tarkoitus
RECAPTCHA_SITE_KEY	Ei asetettu	Ottaa captchan käyttöön kirjautumisessa, LDAP-kirjautumisessa, rekisteröitymisessä ja salasanan palautuksessa.
RECAPTCHA_SECRET_KEY	Ei asetettu	Saman reCAPTCHA-avaimen salainen avain, jolla palvelin tarkistaa vastaukset.
RECAPTCHA_ENDPOINT	https://www.google.com/recaptcha/api/siteverify	Osoite, jossa palvelin tarkistaa vastaukset. Jos www.google.com ei ole tavoitettavissa, käytä osoitetta https://www.recaptcha.net/recaptcha/api/siteverify.
CAPTCHA_TRUSTED_USERS	Ei asetettu	Pilkuilla erotetut sähköpostiosoitteet, jotka palvelin päästää läpi tarkistamatta captchaa.
CAPTCHA_TRUSTED_USERS_REGEX	Ei asetettu	Säännöllinen lauseke tällaisille sähköpostiosoitteille; sen on vastattava koko sähköpostiosoitetta.
DEVICE_HISTORY_SECRET	Ei asetettu	64 heksadesimaalimerkkiä, esim. komennosta openssl rand -hex 32. Antaa selaimen, joka on kirjautunut sähköpostiosoitteella, ohittaa captchan kyseisen osoitteen osalta 90 päivän ajan. Jos asetusta ei ole, jokainen kirjautuminen saa captchan.

• Sivut lataavat reCAPTCHA-skriptin osoitteesta www.recaptcha.net, joka toimii myös siellä, missä www.google.com on estetty.
• Rekisteröityminen ja salasanan palautus kysyvät joka kerta. Myös LDAP-kirjautuminen kysyy joka kerta, myös DEVICE_HISTORY_SECRET-asetuksen kanssa: se lähettää käyttäjätunnuksen, ei sähköpostiosoitetta.
• Kirjautumisyrityksiä rajoitetaan edelleen: 20 yritystä minuutissa IP-osoitetta kohden ja 10 yritystä kahdessa minuutissa sähköpostiosoitetta kohden.
• Ayakaleaf Pro tarkistaa vain, hyväksyykö Google vastauksen. reCAPTCHA v3:n pisteitä ja kynnysarvoja ei tueta, ja Google päättää, milloin tehtävä näytetään.
• Jos haluat kokeilla ennen kuin sinulla on avain, käytä Googlen testiavaimia: jokainen tarkistus menee läpi ja widget näyttää varoituksen, joten älä käytä niitä tuotannossa.