Geverifieerd
De geregistreerde persoon heeft precies dit verzoek goedgekeurd op zijn vertrouwde apparaat. Je kunt erop handelen.
Toepassingen
Gevoelige handelingen
Een uitbetalingsrekening wijzigen, een beheerder toevoegen, een productiesleutel uitgeven — keur de exacte wijziging goed, niet de categorie.
Het probleem
Ingelogd zijn wordt behandeld als toestemming voor alles
De meeste applicaties controleren één keer wie je bent, aan de deur, en laten daarna alles toe wat de rol toestaat. Een gestolen sessie, een geleende laptop of een moment van misplaatst vertrouwen geeft dan niet alleen leesrecht, maar de macht om te wijzigen wie het account beheert.
Wat er verandert
Vraag het opnieuw, op het moment dat het telt
Ingrijpende wijzigingen vragen om een verse goedkeuring die de oude én de nieuwe waarde noemt. "Wijzig de uitbetalingsrekening naar X" goedkeuren kan niet worden hergebruikt om hem op Y te zetten, omdat de goedkeuring gebonden is aan de waarden die ze toonde.
Hoe dit werkt
Een specifieke wijziging goedkeuren
- Er wordt een gevoelige wijziging gevraagd Uitbetalingsgegevens, beheerders, herstelmethoden, API-geheimen, webhook-adressen, verwijdering.
- Oude en nieuwe waarde worden samen getoond Wie goedkeurt, ziet wat het nu is en wat het zou worden.
- Er is een verse, sterke controle nodig Een sessie met enkel een wachtwoord mag dit niet. Er is een recente passkey-verificatie vereist.
- De wijziging en de goedkeuring worden vastgelegd Alleen toevoegend, inclusief wie goedkeurde en tegen welke waarden.
Mogelijke uitkomsten
Vier antwoorden, en één daarvan is stilte
Een verificatieverzoek kent meer dan twee afloopmogelijkheden. Alles wat géén uitdrukkelijke goedkeuring is toch als goedkeuring behandelen, is precies hoe verificatiesystemen mensen in de steek laten.
Geweigerd
De geregistreerde persoon heeft dit verzoek gezien en geweigerd. Behandel het als frauduleus en meld het.
Verlopen
Het verzoek is niet op tijd beantwoord en is niet meer geldig. Begin opnieuw als het echt was.
Geen antwoord en Niet geverifieerd worden nooit als goedkeuring getoond, en veranderen ook niet in goedkeuring door te wachten.
Eerlijke grenzen
Wat dit niet oplost
Dit beschermt het moment waarop een wijziging gebeurt. Het beschermt niet tegen een bevoegd persoon die werkelijk schade wil aanrichten, en het helpt niet waar een applicatie REAL AUTH überhaupt niet raadpleegt. De dekking is precies zo goed als de lijst handelingen die de integrerende applicatie kiest te beschermen.
Verwante toepassingen
Bevoegdheid binnen de organisatie
Niet "is dit een echte medewerker", maar "heeft deze persoon deze bevoegdheid, nu, in deze organisatie".
Meer lezen →Veilig inloggen
Controleer wie er inlogt, vanaf welk apparaat, op welk account, met welke rol — vóórdat de sessie bestaat.
Meer lezen →Crypto- en walletverificatie
Eigendom van een wallet aantonen is niet hetzelfde als aantonen dat iemand deze transactie bedoelde. Bevestig…
Meer lezen →Probeer het op je eigen applicatie
Een gratis sandbox, echte stappen, geen kaartgegevens nodig.