F6 — TOTP + verificação de telefone (2FA opcional para o usuário) #63

New issue

Open

opened 2026-07-27 13:24:33 -03:00 by navigator · 1 comment

navigator commented

2026-07-27 13:24:33 -03:00

Owner

2FA opcional, controlado pelo usuário.

TOTP (RFC 6238) — app autenticador; recomendado; opcional
Telefone/SMS OTP como 2FA alternativo (não recomendado; ver F5)
Ordem: e-mail (obrigatório) -> SMS (opt-in) -> TOTP (opt-in)
Códigos de recuperação; endpoints EN (/me/2fa/totp, /me/2fa/sms)

2FA opcional, controlado pelo usuário. - [ ] **TOTP** (RFC 6238) — app autenticador; recomendado; opcional - [ ] Telefone/SMS OTP como 2FA alternativo (não recomendado; ver F5) - [ ] Ordem: e-mail (obrigatório) -> SMS (opt-in) -> TOTP (opt-in) - [ ] Códigos de recuperação; endpoints EN (`/me/2fa/totp`, `/me/2fa/sms`)

navigator added this to the ÁGORA — Campanha & i18n milestone

2026-07-27 13:24:33 -03:00

navigator added the

2fa

label

2026-07-27 13:24:33 -03:00

navigator referenced this issue

2026-07-27 13:37:44 -03:00

[EPIC] INTERCOMS: vertical de comunicação externa (providers plugáveis) (ADR-0016) #67

navigator referenced this issue from a commit

2026-07-27 16:16:32 -03:00

feat(2fa): F6 — TOTP (RFC 6238) enrollment + recovery codes [#63]

navigator commented

2026-07-27 16:21:05 -03:00

Author

Owner

F6.1 (enrollment) entregue (imagem 0.73.0-totp, commit ffafa1e): TOTP RFC6238 hand-rolled (HOTP RFC4226+HMAC-SHA1, compativel Google Authenticator), TESTADO contra vetores oficiais; /me/2fa/totp (status/setup/enable/disable), 8 recovery codes, base32 proprio. UI aba 2FA (TOTP recomendado + telefone). Verificado: rotas 401, schema OK, cripto OK.

PENDENTE F6.2: forcar 2FA no LOGIN (challenge de segundo fator no fluxo dsoc-auth) + consumo de recovery code + encriptar totp_secret em repouso.

F6.1 (enrollment) entregue (imagem 0.73.0-totp, commit ffafa1e): TOTP RFC6238 hand-rolled (HOTP RFC4226+HMAC-SHA1, compativel Google Authenticator), TESTADO contra vetores oficiais; /me/2fa/totp (status/setup/enable/disable), 8 recovery codes, base32 proprio. UI aba 2FA (TOTP recomendado + telefone). Verificado: rotas 401, schema OK, cripto OK. PENDENTE F6.2: forcar 2FA no LOGIN (challenge de segundo fator no fluxo dsoc-auth) + consumo de recovery code + encriptar totp_secret em repouso.