بازنشانی خودکار

بازنشانی گذرواژه، بدون تیکت

کاربر قفل‌شده هویت خود را با کدی یک‌بارمصرف در ایمیل یا پیامک تأیید می‌کند، سپس گذرواژه‌ی سامانه‌های بیرونیِ مرتبط با حسابش را بدون تماس با پشتیبانی بازنشانی می‌کند.

مرز این زیرسامانه با گاوصندوق دانش‌صفر

شفافیت

این زیرسامانه گذرواژه را روی سامانه‌های بیرونی — اکتیو دایرکتوری، cPanel، SSH یا هر برنامه‌ی مبتنی بر HTTP — بازنشانی می‌کند. برخلاف گاوصندوق شخصی، این بخش عمداً دانش‌صفر نیست: سرور اعتبارنامه‌ی کانکتورهای دارای امتیاز را رمزنگاری‌شده در حالت سکون با AES-256-GCM نگه می‌دارد و از طرف کاربر روی آن سامانه‌ها اقدام می‌کند. این زیرسامانه در کنار گاوصندوق شخصیِ دانش‌صفر می‌نشیند؛ هرگز جایگزین آن نمی‌شود و هیچ دسترسی‌ای به آن ندارد.

جریان کاربر

روند

نام کاربری یا ایمیل

کد یک‌بارمصرف

انتخاب سامانه‌ها

گذرواژه‌ی جدید

نتیجه‌ی هر سامانه

پرتال عمومی بازنشانی خودکار گذرواژه در رازدار — پرتال عمومی بازنشانی — پیش از ورود، بدون نشست

کانکتورهای پشتیبانی‌شده

پیکربندی

HTTP

HTTP عمومی

درخواست کاملاً قالب‌بندی‌شده با روش، نشانی و بدنه‌ی حاوی {{username}}/{{password}}، احراز Bearer یا Basic، و تطبیق موفقیت بر پایه‌ی کد وضعیت یا الگوی پاسخ.

LDAP

LDAP / اکتیو دایرکتوری

نوشتن Password-Modify طبق RFC 3062 یا فیلد unicodePwd روی LDAPS برای اکتیو دایرکتوری، با حساب Bind و StartTLS قابل‌پیکربندی.

SSH

SSH (لینوکس)

اتصال با حساب دارای امتیاز و اجرای chpasswd؛ رمز از راه stdin داده می‌شود تا هرگز در فهرست فرآیندها دیده نشود.

UAPI

cPanel

بازنشانی گذرواژه‌ی حساب ایمیل با Email::passwd_pop و توکن API.

CMD_API

DirectAdmin

بازنشانی گذرواژه‌ی حساب ایمیل با CMD_API_POP و احراز پایه‌ی HTTP.

OCS

ownCloud / Nextcloud

بازنشانی گذرواژه‌ی کاربر از راه رابط برنامه‌نویسی تدارک OCS، نسخه‌ی ۱ یا ۲.

همه‌ی این کانکتورها پشت یک رابط Connector مشترک قرار دارند؛ انتخاب حساب و روند بازنشانی، صرف‌نظر از سامانه‌ی مقصد، یکسان است.

صفحه‌ی مدیریت کانکتورها در رازدار با فهرست یکپارچه‌سازی‌ها — مدیریت کانکتورها — هر یکپارچه‌سازی با نوع، پیکربندی رمزنگاری‌شده و کنش آزمایش

تأیید هویت

کد یک‌بارمصرف

کدهای یک‌بارمصرف با crypto/rand تولید می‌شوند و تنها به‌صورت هش SHA-256 آمیخته با یک راز سراسری سرور (pepper) ذخیره و در زمان ثابت تأیید می‌گردند.

هر چالش دارای انقضا و سقف تلاش است؛ در صورت موفقیت، یک توکن بازنشانیِ تک‌مصرف و کوتاه‌مدت صادر می‌شود.

پاسخ‌های درگاه عمومی هستند و هرگز افشا نمی‌کنند که آیا حسابی وجود دارد یا نه؛ نرخ درخواست به ۵ درخواست در ساعت به ازای هر شناسه محدود است.

درگاه‌های پیامک

ادمین ← تنظیمات

انتزاعی مستقل از ارائه‌دهنده با چند درگاه قابل‌پیکربندی؛ در هر لحظه تنها یک درگاه فعال است.

ملی‌پیامک و کاوه‌نگار پیاده‌سازی‌شده‌اند.

شماره‌ها به قالب یکتای ایرانی نرمال می‌شوند و فرمت‌های 09…، +98… و 0098… و ارقام فارسی/عربی را می‌پذیرند.

برای هر ارائه‌دهنده عملیات ایجاد/ویرایش/حذف، فعال‌سازی و ارسال آزمایشی در دسترس است؛ اعتبارنامه‌ها رمزنگاری‌شده در حالت سکون ذخیره می‌شوند.

دو حالت اعمال

خودکار یا تأییدی

در حالت self، بازنشانی بلافاصله از راه کانکتور اعمال می‌شود و یک جدول نتیجه به ازای هر حساب بازگردانده می‌شود.

در حالت workflow، یک بازنشانیِ تأییدشده به‌جای اعمال فوری، یک درخواست تأیید باز می‌کند؛ درگاه وضعیت «ارسال‌شده برای تأیید» را نشان می‌دهد و بازنشانی با تأیید نهایی انجام می‌شود.

گذرواژه‌ی جدیدِ در انتظار، رمزنگاری‌شده در حالت سکون نگه‌داری می‌شود و هرگز به‌صورت متن‌ساده ذخیره نمی‌گردد.

جزئیات زنجیره‌ی تأیید و قواعد آن در گردش‌کار تأیید آمده است.