reCAPTCHA

Hvordan beskytter du innlogging, registrering og tilbakestilling av passord med Google reCAPTCHA?

Denne funksjonen er utviklet av ayaka-notes/ayakaleaf-pro og er tilgjengelig fra og med v6.4.0.

Innlogging med e-post og passord, LDAP-innlogging, registrering og tilbakestilling av passord kan be om en Google reCAPTCHA v2 (usynlig). Den er slått av som standard. De fleste brukere ser ingenting: sjekken kjøres når de trykker på knappen, og Google viser bare en bildeutfordring når forespørselen virker mistenkelig. SAML- og OIDC-innlogginger og kontoer opprettet av en administrator berøres ikke.

1. I reCAPTCHA-administrasjonskonsollen oppretter du en nøkkel av typen reCAPTCHA v2, Invisible reCAPTCHA badge, og legger til domenet til instansen din. Et domene dekker også underdomenene sine, f.eks. dekker example.com også latex.example.com.
2. Angi de to nøklene i config/variables.env og kjør bin/up:

RECAPTCHA_SITE_KEY=<site key>
RECAPTCHA_SECRET_KEY=<secret key>

Variabel	Standard	Formål
RECAPTCHA_SITE_KEY	Ikke satt	Slår på captcha for innlogging, LDAP-innlogging, registrering og tilbakestilling av passord.
RECAPTCHA_SECRET_KEY	Ikke satt	Den hemmelige nøkkelen til den samme reCAPTCHA-nøkkelen, som serveren bruker til å kontrollere svarene.
RECAPTCHA_ENDPOINT	https://www.google.com/recaptcha/api/siteverify	Hvor serveren kontrollerer svarene. Der www.google.com ikke kan nås, bruker du https://www.recaptcha.net/recaptcha/api/siteverify.
CAPTCHA_TRUSTED_USERS	Ikke satt	Kommaseparerte e-postadresser som serveren slipper gjennom uten å kontrollere captchaen.
CAPTCHA_TRUSTED_USERS_REGEX	Ikke satt	Et regulært uttrykk for slike e-postadresser; det må samsvare med hele e-postadressen.
DEVICE_HISTORY_SECRET	Ikke satt	64 heksadesimale tegn, f.eks. fra openssl rand -hex 32. Lar en nettleser som har logget inn med en e-postadresse, hoppe over captchaen for den e-postadressen i 90 dager. Hvis den ikke er satt, får hver innlogging captchaen.

• Sidene laster reCAPTCHA-skriptet fra www.recaptcha.net, som også fungerer der www.google.com er blokkert.
• Registrering og tilbakestilling av passord spør hver gang. LDAP-innloggingen spør også hver gang, også med DEVICE_HISTORY_SECRET: den sender et brukernavn, ikke en e-postadresse.
• Innlogginger er fortsatt hastighetsbegrenset i tillegg: 20 forsøk per minutt per IP-adresse og 10 forsøk per 2 minutter per e-postadresse.
• Ayakaleaf Pro kontrollerer bare om Google godtar svaret. Poengsummer og terskler fra reCAPTCHA v3 støttes ikke, og Google bestemmer når en utfordring skal vises.
• For å prøve det før du har en nøkkel, kan du bruke Googles testnøkler: hver sjekk godkjennes og widgeten viser en advarsel, så ikke bruk dem i produksjon.