Kirjautumistavat

tunnuspalvelu ei tue salasanoja. Käytettävissä olevat kirjautumistavat ovat tenanttikohtaisesti säädettävissä — ks. Autentikointikäytännöt.

Palaava käyttäjä

Onnistuneen kirjautumisen jälkeen selain muistaa käytetyn yhteystiedon 180 vuorokauden ajan. Seuraavalla kirjautumiskerralla samalla laitteella kirjautumissivu tarjoaa suoraan “Jatka tilillä nimi@esimerkki.fi” -painikkeen tavallisen lomakkeen sijaan — yhden napautuksen päässä lähtee uusi kirjautumislinkki/-koodi samaan osoitteeseen tai numeroon. “Käytä toista tiliä” -linkki palauttaa tavallisen lomakkeen. Uloskirjautuminen ei poista tätä muistijälkeä, jotta seuraava kirjautuminen on yhtä nopea. Muistettu yhteystieto tallennetaan selaimeen salattuna evästeenä eikä koskaan selkokielisenä.

Magic link (sähköposti)

Käyttäjä syöttää sähköpostiosoitteensa ja saa viestin, jossa on sekä kertakäyttöinen kirjautumislinkki että 6-numeroinen kirjautumiskoodi. “Tarkista sähköposti” -sivulla on koodikenttä — koodin kirjoittaminen kirjaa käyttäjän sisään samalla laitteella heti, ilman sähköpostin avaamista. Linkki toimii edelleen vaihtoehtoisena tapana: sen avaaminen näyttää vahvistussivun eikä vielä kuluta linkkiä — tämä suojaa tilanteelta, jossa sähköpostipalvelun automaattinen linkkien esikatselu kuluttaisi linkin ennen käyttäjää. Koodi ja linkki kuluttavat saman kertakäyttöisen tunnisteen: kumman tahansa käyttäminen mitätöi toisen.

Ominaisuus	Arvo
Voimassaoloaika	15 minuuttia (koodi ja linkki)
Kertakäyttöisyys	Kyllä — koodi tai linkki mitätöi molemmat heti käytön jälkeen
Väärät koodiyritykset	Enintään 5, sitten koodi ja linkki pitää pyytää uudelleen
Lähetysrajoitus	Oletuksena 3 lähetystä tuntia kohden per sähköpostiosoite

Vaihtoehtoisesti kirjautumisen voi hyväksyä toisella laitteella: linkin lähettänyt laite voi odottaa hyväksyntää taustalla ilman uudelleenlatausta.

Käyttöönotto: sähköposti-magic link ohjataan allow_magic_link_email-lipulla. Lippua ei säädetä tenantin omasta admin-paneelista — tunnuspalvelun ylläpito asettaa sen tenantin pyynnöstä, ks. Autentikointikäytännöt.

Magic link (SMS)

Sama mekanismi kuin sähköposti-magic link, mutta tekstiviesti kantaa kirjautumiskoodin ensimmäisellä rivillä ja linkin sen jälkeen. Vaatii, että tenantille on konfiguroitu toimiva SMS-lähetys.

Ominaisuus	Arvo
Voimassaoloaika	15 minuuttia (koodi ja linkki)
Kertakäyttöisyys	Kyllä
Väärät koodiyritykset	Enintään 5, sitten koodi ja linkki pitää pyytää uudelleen
Lähetysrajoitus	Oletuksena 3 lähetystä tuntia kohden per puhelinnumero

Käyttöönotto: allow_magic_link_sms-lippu, ks. Autentikointikäytännöt.

Passkeyt (WebAuthn)

Passkeyt ovat FIDO2/WebAuthn-standardin mukaisia laitteeseen tai laitteen salasanahallintaan sidottuja tunnistautumisvälineitä (esim. laitteen biometriikka, turvallisuusavain). tunnuspalvelu tukee myös “discoverable credentials” -kirjautumista, jossa käyttäjä ei syötä sähköpostiaan lainkaan vaan valitsee tallennetun passkeyn suoraan.

Ominaisuus	Kuvaus
Phishing-kestävyys	Passkey on kryptografisesti sidottu tenantin domainiin — sitä ei voi käyttää väärällä sivustolla, toisin kuin salasanaa tai kertakäyttökoodia.
MFA-status	Passkey-kirjautuminen käyttäjän varmennuksella (user verification) lasketaan itsessään kaksivaiheiseksi tunnistautumiseksi, joten erillistä TOTP-kyselyä ei näytetä.

Käyttöönotto: allow_passkey-lippu. Huomio ennen käytöstä poistamista: jos jollain käyttäjällä on passkey ainoana kirjautumistapana eikä hänellä ole sähköpostia tai puhelinnumeroa tallennettuna, passkeyn poistaminen käytöstä lukitsee hänet tilin ulkopuolelle. Ks. Autentikointikäytännöt.

Google

Google-kirjautuminen käyttää Googlen omaa OAuth 2.0 / OIDC -federaatiota. Käyttäjä ohjataan Googlen kirjautumiseen, ja tunnuspalvelu vahvistaa palautetun ID-tokenin allekirjoituksen ennen tilin resolvointia tai luontia. Ensimmäisellä kirjautumisella tili joko linkitetään olemassa olevaan (jos sähköposti täsmää ja on vahvistettu) tai luodaan uutena.

Google-kirjautumisen käyttöönotto tenantille tehdään tunnuspalvelun ylläpidon toimesta erillisenä upstream-identiteetintarjoajan konfiguraationa, ei samalla auth-policy-lipulla kuin magic link, passkey ja TOTP.

TOTP-MFA

TOTP (time-based one-time password) on valinnainen lisävarmistuskerros magic link -kirjautumisen päälle. Käyttäjä rekisteröi TOTP-sovelluksen (esim. autentikaattorisovellus) omassa tilinhallinnassaan, ja sen jälkeen kirjautuminen vaatii sekä magic linkin että TOTP-koodin. TOTP-salaisuudet salataan AES-256-GCM:llä levossa.

Passkey-kirjautuminen ei kysy TOTP:ia erikseen, koska laitteen käyttäjävarmennus täyttää jo kaksivaiheisuuden vaatimuksen.

Käyttöönotto: allow_totp-lippu, ks. Autentikointikäytännöt. Kirjautunut käyttäjä ottaa TOTP:n käyttöön itse omalla tilillään (QR-koodi + vahvistuskoodi). Käyttöönotto luo samalla 10 kertakäyttöistä varakoodia palautuskeinoksi, jos autentikaattorisovellus katoaa — sama syötekenttä kirjautumisessa hyväksyy joko TOTP-koodin tai varakoodin. Varakoodit voi uusia milloin tahansa tilinhallinnassa.

Sähköpostin vaihto

Käyttäjä voi vaihtaa oman kirjautumisosoitteensa itse Oma tili -sivulla — myös Google- tai FTN-linkitetty tili, ilman että ulkoinen linkitys katkeaa. Uuteen osoitteeseen lähtee 6-numeroinen vahvistuskoodi; vaihto astuu voimaan vasta kun koodi syötetään takaisin. Vanhaan osoitteeseen lähtee ilmoitus heti vaihdon jälkeen, jotta tilin todellinen omistaja huomaa mahdollisen luvattoman muutoksen vaikka istunto olisi varastettu.

Ominaisuus	Arvo
Vahvistuskoodin voimassaoloaika	15 minuuttia
Väärät koodiyritykset	Enintään 5, sitten pyyntö pitää aloittaa alusta
Pyyntörajoitus	3 pyyntöä tuntia kohden per käyttäjä
Yksi avoin pyyntö kerrallaan	Uusi pyyntö korvaa aiemman kesken jääneen

Vahva tunnistus (FTN) — tulossa

Suomalainen vahva sähköinen tunnistus (esim. pankkitunnukset, mobiilivarmenne) on toteutettu ja testattu koodissa, mutta ei vielä käytössä tuotannossa. Käyttöönotto vaatii sopimuksen ulkoisen tunnistusvälittäjän kanssa. Lisäksi tunnuspalvelu ei tällä hetkellä välitä tokenissa varmuustasotietoa (acr), joten FTN-kirjautumista ei voi vielä käyttää tilanteissa, jotka edellyttävät todistettua eIDAS-tasoa. Tarkempi status: Vahva tunnistus.