2FA Google Authenticator voor PrestaShop

Tweestapsverificatie (2FA) voor de backoffice van PrestaShop 8 & 9

De backoffice van PrestaShop is het doelwit nummer één van aanvallen op uw winkel. Een gecompromitteerd beheerderswachtwoord betekent toegang tot uw bestellingen, uw klanten en uw broncode. 2FA Google Authenticator voegt een tweede beveiligingslaag toe: naast het wachtwoord vraagt elke aanmelding in de backoffice een code van 6 cijfers die door een TOTP-app op de telefoon van de medewerker wordt gegenereerd.

Compatibel met PrestaShop 8 en PrestaShop 9

De module werkt native op PrestaShop 8.0 tot 8.2 en op PrestaShop 9, ook met de nieuwe Symfony-aanmeldpagina van de PS9-backoffice. Eén enkele versie van de module, en geen instellingen die van de versie afhangen.

Compatibel met alle standaard TOTP-apps

De module respecteert de standaard RFC 6238 (TOTP) en werkt met:

• Google Authenticator (iOS, Android)
• Microsoft Authenticator
• Authy
• 1Password (ingebouwd in de wachtwoordbeheerder)
• Bitwarden Authenticator
• FreeOTP
• En elke andere standaard TOTP-app

Globaal of individueel activeren

De 2FA kan voor alle medewerkers verplicht worden gemaakt (geforceerde modus) of als opt-in worden gelaten: elke medewerker activeert dan zijn eigen 2FA vanuit zijn gebruikersmenu of vanuit de herinneringsbalk in de backoffice. U stelt dat in via Modules en dan 2FA Google Authenticator.

Configuratie in 2 minuten aan medewerkerszijde

Bij de eerste aanmelding na de activering scant de medewerker een QR-code met zijn TOTP-app, vult hij de gegenereerde code in om de koppeling te bevestigen, en klaar. Bij de volgende aanmeldingen wordt na het wachtwoord gewoon de code van 6 cijfers gevraagd. De QR-code wordt lokaal in de browser gegenereerd, zonder enige aanroep naar een externe dienst.

Herstelcodes

Bij de koppeling worden 8 eenmalig te gebruiken herstelcodes gegenereerd en aan de medewerker getoond. Die bewaart hij op een veilige plaats (een wachtwoordbeheerder, of op papier in de kluis). Gaat de telefoon verloren of wordt hij gestolen, dan laat een van die codes toe om aan te melden en de koppeling opnieuw in te stellen. De codes worden gehasht met SHA-256 bewaard en zijn dus nooit in de database leesbaar.

Reset door de SuperAdmin

Verliest een medewerker zowel zijn telefoon als zijn herstelcodes, dan kan een SuperAdmin zijn 2FA met één klik resetten vanaf de configuratiepagina van de module. Bij de volgende aanmelding wordt de eerste koppeling opnieuw gevraagd.

Bescherming tegen brute force

Na 5 opeenvolgende ongeldige codes wordt de 2FA-controle van het account 15 minuten vergrendeld. Een aanvaller kan de codes van 6 cijfers dus niet aflopen, ook niet met geautomatiseerde pogingen.

Technische kenmerken

• Standaard RFC 6238 (TOTP), met een venster van 30 seconden en 6 cijfers
• TOTP-geheim versleuteld met AES-256 in de database
• Herstelcodes gehasht met SHA-256
• Vergrendeling van 15 minuten na 5 opeenvolgende mislukkingen
• Globaal verplicht of opt-in per medewerker
• 8 eenmalig te gebruiken herstelcodes
• Reset door een SuperAdmin
• QR-code lokaal gegenereerd, zonder externe afhankelijkheid
• Compatibel met multishop
• PrestaShop 8.0+ en 9.x, PHP 7.4+ (8.1+ voor PS9)