reCAPTCHA

Hur skyddar du inloggning, registrering och lösenordsåterställning med Google reCAPTCHA?

Den här funktionen är utvecklad av ayaka-notes/ayakaleaf-pro och finns från v6.4.0.

Inloggning med e-post och lösenord, LDAP-inloggning, registrering och lösenordsåterställning kan kräva en Google reCAPTCHA v2 (osynlig). Den är avstängd som standard. De flesta användare märker ingenting: kontrollen körs när de trycker på knappen, och Google visar en bildutmaning endast när förfrågan verkar misstänkt. SAML- och OIDC-inloggningar samt konton som skapats av en administratör påverkas inte.

1. I reCAPTCHA-administratörskonsolen skapar du en nyckel av typen reCAPTCHA v2, Invisible reCAPTCHA badge, och lägger till domänen för din instans. En domän omfattar även sina underdomäner, t.ex. omfattar example.com även latex.example.com.
2. Ange de två nycklarna i config/variables.env och kör bin/up:

RECAPTCHA_SITE_KEY=<site key>
RECAPTCHA_SECRET_KEY=<secret key>

Variabel	Standard	Syfte
RECAPTCHA_SITE_KEY	Inte satt	Aktiverar captcha för inloggning, LDAP-inloggning, registrering och lösenordsåterställning.
RECAPTCHA_SECRET_KEY	Inte satt	Den hemliga nyckeln för samma reCAPTCHA-nyckel, som servern använder för att kontrollera svaren.
RECAPTCHA_ENDPOINT	https://www.google.com/recaptcha/api/siteverify	Var servern kontrollerar svaren. Om www.google.com inte kan nås använder du https://www.recaptcha.net/recaptcha/api/siteverify.
CAPTCHA_TRUSTED_USERS	Inte satt	Kommaseparerade e-postadresser som servern släpper igenom utan att kontrollera captcha.
CAPTCHA_TRUSTED_USERS_REGEX	Inte satt	Ett reguljärt uttryck för sådana e-postadresser; det måste matcha hela e-postadressen.
DEVICE_HISTORY_SECRET	Inte satt	64 hexadecimala tecken, t.ex. från openssl rand -hex 32. Låter en webbläsare som har loggat in med en e-postadress hoppa över captcha för den e-postadressen i 90 dagar. Om den inte är satt får varje inloggning en captcha.

• Sidorna läser in reCAPTCHA-skriptet från www.recaptcha.net, vilket även fungerar där www.google.com är blockerad.
• Registrering och lösenordsåterställning frågar varje gång. LDAP-inloggningen frågar också varje gång, även med DEVICE_HISTORY_SECRET: den skickar ett användarnamn, inte en e-postadress.
• Inloggningar är dessutom fortfarande hastighetsbegränsade: 20 försök per minut per IP-adress och 10 försök per 2 minuter per e-postadress.
• Ayakaleaf Pro kontrollerar bara om Google godkänner svaret. Poäng och tröskelvärden för reCAPTCHA v3 stöds inte, och Google avgör när en utmaning ska visas.
• Om du vill prova innan du har en nyckel kan du använda Googles testnycklar: alla kontroller godkänns och widgeten visar en varning, så använd dem inte i produktion.