Autentikointikäytännöt

Jokaisella tenantilla on oma autentikointikäytäntö (auth policy), joka määrittää mitkä kirjautumistavat ovat käytössä. Käytäntö on tallennettu viisi lippua sisältävänä rakenteena.

Kentät ja oletusarvot

Kenttä	Oletus	Mitä ohjaa
allow_magic_link_email	Päällä	Sähköposti-magic link -kirjautuminen
allow_magic_link_sms	Päällä	SMS-magic link -kirjautuminen
allow_passkey	Päällä	Passkey (WebAuthn) -kirjautuminen ja -rekisteröinti
allow_totp	Päällä	TOTP-MFA toisena vaiheena magic link -kirjautumisen jälkeen
require_phone_verified	Pois	Pakottaa jokaisen käyttäjän vahvistamaan puhelinnumeronsa ennen sisäänpääsyä

Kaikki allow_*-liput ovat oletuksena päällä, joten uusi tenant ei vaadi muutoksia toimiakseen. require_phone_verified on oletuksena pois, jotta olemassa olevat käyttäjät eivät lukkiudu ulos kesken kaiken.

Vaikutus jo kirjautuneisiin käyttäjiin

Liput vaikuttavat vain uusiin kirjautumisyrityksiin, eivät jo avoinna oleviin sessioihin — olemassa oleva istunto pysyy voimassa, kunnes se vanhenee tai käyttäjä kirjautuu ulos.

• allow_magic_link_email / allow_magic_link_sms pois päältä: vastaava kirjautumispyyntö hylätään heti, ennen linkin lähettämistä. Kirjautumislomake ei näytä enää kyseistä vaihtoehtoa.
• allow_passkey pois päältä: sekä passkeyn rekisteröinti että sillä kirjautuminen hylätään. Jos jollain käyttäjällä on passkey ainoana kirjautumistapana eikä hänellä ole sähköpostia tai puhelinnumeroa tallennettuna, tämän lipun sammuttaminen lukitsee hänet tilin ulkopuolelle.
• allow_totp pois päältä: TOTP-kysely ohitetaan, mutta olemassa olevia TOTP-tunnisteita ei poisteta tietokannasta — ne jäävät odottamaan, ja käyttäjä ei pääse itse poistamaankaan niitä lipun ollessa pois päältä. Lipun kytkeminen takaisin päälle palauttaa vanhat tunnisteet käyttöön.
• require_phone_verified päälle: jokainen käyttäjä, jolla ei ole vahvistettua puhelinnumeroa, ohjataan puhelinvahvistussivulle ennen kirjautumisen jatkumista sovellukseen. Vaatii, että tenantille on konfiguroitu toimiva tekstiviestien lähetys.

Suoja: vähintään yksi kirjautumistapa

Käytäntöä ei voi tallentaa tilaan, jossa sekä sähköposti-magic link, SMS-magic link että passkey olisivat kaikki pois päältä samanaikaisesti — järjestelmä hylkää tällaisen muutoksen, koska se lukitsisi tenantin kaikki käyttäjät ulos omista tileistään. (TOTP ei yksin riitä täyttämään tätä vaatimusta, koska se on toissijainen vahvistus, ei ensisijainen kirjautumistapa.)

Muutoksen tekeminen

Autentikointikäytäntöä ei tällä hetkellä muuteta tenantin oman admin-paneelin kautta. Jos haluat rajata sallittuja kirjautumistapoja tai ottaa käyttöön puhelinnumeron pakollisen vahvistuksen, ota yhteyttä tunnuspalvelun ylläpitoon — muutos tehdään pyynnöstäsi ja tulee voimaan kaikilla palvelinrepliikoilla noin 60 sekunnin sisällä.