Definindo políticas de senha

Políticas de senha, como requisitos de força, ajudam a impor aplicativos mais seguros. Ao definir políticas avançadas, é possível definir as regras com as quais um usuário deve estar em conformidade ao configurar sua senha ou tentar se conectar ao app. Por exemplo, é possível configurar o número de vezes que um usuário pode tentar se conectar antes de ser bloqueado de sua conta.

Política: força da senha

Uma senha forte torna difícil, ou mesmo improvável para alguém adivinhar a senha de uma maneira manual ou automatizada. Para configurar requisitos para a força da senha de um usuário, é possível usar as etapas a seguir.

Para configurar essa configuração usando a GUI:

  1. Acesse a guia Cloud Directory > Políticas de senha do painel do App ID.

  2. Na caixa Definir força da senha, clique em Editar. Uma tela é aberta.

  3. Insira uma sequência de expressão regular válida na caixa Segurança da senha.

    Exemplos:

    • Deve ter pelo menos 8 caracteres. (^.{8,}$)
    • Deve ter um número, uma letra minúscula e uma letra maiúscula. (^(?:(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).*)$)
    • Deve ter apenas letras em inglês e números. (^[A-Za-z0-9]*$)
    • Deve ter pelo menos um caractere exclusivo. (^(\w)\w*?(?!\1)\w+$)

  4. Clique em Salvar.

A força da senha pode ser definida na página de configurações do Cloud Directory, no painel App ID, ou usando as APIs de gerenciamento.

Configurando uma mensagem de erro customizada

Se você configurar sua própria política de regex de senhas e um usuário escolher uma senha que não atenda aos seus requisitos, a mensagem padrão será The password doesn't meet the strength requirements. Você também pode optar por configurar sua própria mensagem usando o terminal /management/v4/<tenantId>/config/cloud_directory/password_regex.

Políticas de senha avançadas

É possível aprimorar a segurança de seu aplicativo utilizando restrições de senha.

É possível criar uma política de senha avançada que consiste em qualquer combinação dos cinco recursos a seguir:

  • Bloqueio de acesso após credenciais erradas repetidas
  • Evitar reutilização de senha
  • Expiração de senha
  • Período mínimo entre mudanças de senha
  • Assegure-se de que a senha não inclua o nome do usuário

Quando você ativa esse recurso, o faturamento para recursos avançados de segurança é ativado. Para obter mais informações, consulte Como o App ID calcula a precificação.

Política: Evite reutilização de senha

Talvez você queira evitar que seus usuários escolham uma senha usada recentemente quando tentarem criar uma nova senha. Se ele tentar configurar a senha para uma que foi usada recentemente, um erro será mostrado na GUI do Widget de login padrão e será solicitado que o usuário insira outra opção. Essa configuração permite que você escolha o número de senhas que um usuário deve ter antes de conseguir repetir uma senha usada anteriormente.

Para configurar essa configuração usando a GUI:

  1. Vá para a guia Cloud Directory > Políticas de senha do painel App ID.

  2. Alterne Política de senha avançada para Ativado.

  3. Especifique O número de vezes que uma senha não pode ser repetida. É possível usar qualquer valor inteiro no intervalo de 1 a 8.

  4. Alterne O número de vezes que uma senha não pode ser repetida para Ativado.

  5. Clique em Salvar.

As senhas anteriores são armazenadas de forma segura da mesma maneira que a senha atual de um usuário.

Política: Bloqueio após credenciais erradas repetidas

Talvez você queira proteger as contas de seus usuários bloqueando temporariamente a capacidade de se conectar quando um comportamento suspeito é detectado, como várias tentativas de conexão consecutivas com uma senha incorreta. Essa medida pode ajudar a evitar que uma parte maliciosa obtenha acesso à conta de um usuário, adivinhando sua senha.

Se uma conta estiver bloqueada, os usuários não poderão se conectar ou concluir qualquer outra operação de autoatendimento até que o período de bloqueio especificado seja concluído. Quando o período de bloqueio de acesso termina, o usuário é desbloqueado automaticamente.

Para configurar essa configuração usando a GUI:

  1. Acesse a guia Cloud Directory > Políticas de senha do painel do App ID.

  2. Alterne Política de senha avançada para Ativado.

  3. Especifique O número de vezes que um usuário pode tentar se conectar antes de ser bloqueado. É possível usar qualquer valor inteiro no intervalo de 1 a 10.

  4. Especifique O horário em que um usuário será bloqueado após tentar se conectar com credenciais erradas. O tempo é especificado em minutos. É possível usar qualquer valor inteiro no intervalo de 1 a 1440 (24 horas).

  5. Alterne a linha O número de vezes que um usuário pode tentar se conectar antes de ser bloqueado para Ativado.

  6. Clique em Salvar.

É possível desbloquear um usuário antes que o período de bloqueio de acesso termine. Para ver se eles estão bloqueados, verifique se o campo active está configurado como false. Também é possível verificar se o seu status na guia Usuários do painel de serviço está configurado como disabled. Para desbloquear um usuário, deve-se usar a API para configurar o campo active como true.

Política: Período mínimo entre mudanças de senha

Talvez você queira evitar que seus usuários alternem as senhas rapidamente, configurando um tempo mínimo que um usuário deve aguardar entre as mudanças de senha.

Esse recurso será especialmente útil quando for usado com a política Avoid password reuse. Sem essa limitação, um usuário pode simplesmente mudar a senha várias vezes em uma sucessão rápida para contornar a limitação de reutilização de senhas recentes.

Para configurar essa configuração usando a GUI:

  1. Acesse a guia Cloud Directory > Políticas de senha do painel do App ID.

  2. Alterne Política de senha avançada para Ativado.

  3. Especifique O tempo mínimo entre as mudanças de senha. O tempo é especificado em horas. É possível usar qualquer valor inteiro no intervalo de 1 a 720 (30 dias).

  4. Alterne O tempo mínimo entre as mudanças de senha para Ativado.

  5. Clique em Salvar.

Política: Expiração de senha

Por motivos de segurança, você pode querer impingir uma política de rotação de senha. Ao configurar uma expiração para a senha de seus usuários, eles são forçados a atualizar a senha para reter o acesso ao seu aplicativo. Isso diminui a chance de que as credenciais de um usuário possam causar danos de longo prazo ao seu aplicativo. Quando a senha expirar, seus usuários serão forçados a reconfigurá-la em sua próxima tentativa de conexão.

Para configurar essa configuração usando a GUI:

  1. Acesse a guia Cloud Directory > Políticas de senha do painel do App ID.

  2. Alterne Política de senha avançada para Ativado.

  3. Especifique um Tempo de expiração de senha. O tempo é especificado em dias. É possível usar qualquer valor inteiro no intervalo de 1 a 90.

  4. Alterne Tempo de expiração de senha para Ativado.

  5. Clique em Salvar.

Quando essa opção é configurada pela primeira vez como ativa, qualquer senha de usuário existente não tem uma data de expiração. Para assegurar que todos os seus usuários estejam limitados pela política de rotação de senha, você pode encorajar os usuários a atualizar a senha depois de configurar esse recurso.

Experiência de conexão customizada

Se você estiver usando uma experiência de conexão customizada, um erro será acionado quando um usuário tentar se conectar com uma senha expirada. É sua responsabilidade configurar o aplicativo para fornecer a experiência do usuário necessária. É possível chamar a API de mudança de senha para configurar a nova senha.

A resposta do terminal do token é semelhante ao seguinte:

{
  "error" : "invalid_grant",
  "error_description" : "Password expired",
  "user_id" : "356e065e-49da-45f6-afa3-091a7b464f51"
}

Política: assegure-se de que a senha não inclua o nome do usuário

Para senhas mais fortes, você pode querer evitar que os usuários criem uma senha que contenha seu nome de usuário ou a primeira parte de seu endereço de e-mail.

Para configurar essa configuração usando a GUI:

  1. Acesse a guia Cloud Directory > Políticas de senha do painel do App ID.

  2. Alterne Política de senha avançada para Ativado.

  3. Alternar A senha não deve conter a identificação de usuário para Ativado.

  4. Clique em Salvar.

Essa limitação não faz distinção entre maiúsculas e minúsculas. Os usuários não podem alterar as maiúsculas e minúsculas de alguns ou de todos os caracteres para usar as informações pessoais. Paraconfigurar essa opção, mude o comutador para ativo.