Registrazione
Si crea l'utente con la sua password (primo fattore) e si collega l'app authenticator (secondo fattore).
1 · Credenziali
2 · Scansiona
3 · Conferma
Crea l'utente
Credenziali di test già compilate. La password viene salvata solo come hash scrypt: il valore in chiaro non finisce da nessuna parte.
Visibile in chiaro perché è una demo di test:
in un'applicazione reale sarebbe un campo type="password".
Collega l'app
Apri Google Authenticator (o Aegis, 1Password, Bitwarden…), scegli Aggiungi codice → Scansiona un codice QR e inquadra questo:
Oppure inseriscilo a mano
Stessa identica informazione del QR — è per questo che l'alfabeto Base32
non contiene 0, 1, O o l: si detta senza ambiguità.
—
Questo è l'unico istante in cui il segreto esiste in chiaro fuori dal database
Dopo la conferma questa pagina lo rimuove dal DOM, e il server ha risposto con
Cache-Control: no-store. In un'applicazione reale va anche verificato che
strumenti di session replay (Sentry Replay, Hotjar, FullStory) non stiano
registrando questa schermata: catturerebbero il QR e lo spedirebbero a terzi.
Cosa c'è realmente dentro il QR
—Conferma con il primo codice
Perché serve questo passaggio
Il segreto è salvato ma non ancora attivo. Si attiva solo quando dimostri di aver
scansionato bene il QR. Senza questa conferma, una scansione fallita ti chiuderebbe fuori
dall'account per sempre.
Utenti registrati
Caricamento…
← Torna al corso per capire cosa è appena successo.