Sık sorulan sorular
Touchque 2FA’yı kendi uygulamanıza eklerken sorulanlar: başlarken, kullanıcılar ve telefonları, entegrasyon, güvenlik.
Başlarken
Kendi sistemime Google Authenticator yerine Touchque 2FA entegre edebilir miyim?
Evet. Touchque, 6 haneli kod adımının yerini alır: şifreden sonra sunucunuz login.request çağırır, kullanıcı Touchque Authenticator’a gelen push’u onaylar. Müşterileriniz telefonlarını bir kez, sizin gösterdiğiniz QR’ı okutarak bağlar. Adım adım anlatım: Uygulamanıza 2FA ekleyin.
Başlamak için neye ihtiyacım var?
Panelde Developers → API keys altında bir API anahtarı, bir sunucu (Node.js, Python, PHP, Go, .NET, Ruby, Java ya da REST ile herhangi bir dil) ve telefonunda Touchque Authenticator (iPhone ya da Android) olan kullanıcılar.
Hangi diller ve framework’ler destekleniyor?
Sunucu SDK’ları: Node.js (Express, Next.js), Python (Flask, Django, FastAPI), PHP (Laravel ya da düz PHP), Go (net/http), .NET (ASP.NET Core), Ruby (Rails) ve Java (Spring Boot). Tarayıcı için @touchque/web, React için @touchque/react. Bugün kurulabilenler Node.js (npm), PHP (GitHub’daki sürüm etiketinden Composer ile) ve Go; Python, .NET, Ruby ve Java henüz yayımlanmadı. Dokümantasyon ana sayfası her SDK’nın durumunu gösterir.
SDK kullanmak zorunda mıyım?
Hayır. REST API her dilde çalışır; her istek API secret’ınızla HMAC-SHA256 imzalanır. Bkz. Kimlik doğrulama ve REST referansı.
Kendi bilgisayarımda deneyebilir miyim?
Evet. Webhook adresi canlıda HTTPS olmalı, yerel testte localhost kabul edilir; webhook yerine durum sorgusu da kullanabilirsiniz. Onaylamak için Touchque Authenticator kurulu gerçek bir telefon gerekir.
Kullanıcılarınız ve telefonları
Kullanıcı telefonda ne görür?
Markanızı ve logonuzu, neyin onaylandığını (giriş ya da tutar ve alıcı gibi gönderdiğiniz ayrıntılar), IP adresinden şehir ve ülkeyi, tarayıcı bilgisinden tarayıcı ve cihazı. Onayla, Reddet ve "Bu ben değilim" seçenekleri vardır; onay Face ID ya da parmak izi ister.
Telefonda internet yoksa ne olur?
Çevrimdışı onayı açabilirsiniz: sayfanız bir QR gösterir, telefon onu internetsiz okur ve 7 karakterlik bir kod üretir; kullanıcı kodu sayfanıza yazar. İsterseniz uygulama 30 saniyede bir değişen bir zaman tabanlı kod da gösterir. Bu kodlar push’tan düşük güvencelidir ve kritik işlemler için kabul edilmez. Bkz. Çevrimdışı onay.
Kullanıcılarım hâlâ kod yazabilir mi?
Yalnız iki durumda: telefon internetsizken çevrimdışı kodlar (açtıysanız) ve telefon yokken kayıt sırasında verdiğiniz kurtarma kodları. Normal girişte kod yoktur, push vardır.
Kullanıcılarımın Google Authenticator hesaplarını aktarabilir miyim?
Hayır. Her kullanıcı telefonunu bir kez QR ile bağlar. Geçiş boyunca eski kodu bağlamamış kullanıcılar için açık tutun, bağlayanlarınkini silin. Bkz. Google Authenticator kullanıcılarını taşıma.
Kullanıcı telefon değiştirir ya da kaybederse ne olur?
Eski telefon elindeyse hesaplarını uygulamadaki aktarma ile yeni telefona taşır; sizin bir şey yapmanız gerekmez. Telefon kayıpsa kurtarma kodu, iş arkadaşlarının onayıyla yeni telefona taşıma ya da kimliğini doğruladıktan sonra sizin yaptığınız sıfırlama vardır. Bkz. Yeni ya da kayıp telefon.
Entegrasyon
Bir giriş isteği ne kadar geçerli?
30 saniye; sonra durumu EXPIRED olur ve yeni bir istek gönderirsiniz. Daha uzun süre gerektiren istekler (ör. bir kişinin bir yapay zekâ ajanının isteğini okuması) expiresIn ile 300 saniyeye kadar isteyebilir. Kayıt secret’ı 5 dakika geçerlidir.
Webhook mu, durum sorgusu mu?
İkisi de çalışır. Webhook önerilir: sonuç geldiği anda imzalı bir POST alırsınız. Durum sorgusunda 30 saniyeye kadar 2 saniyede bir login.status sorun. Bkz. Callback / webhook ve Durum sorgula.
externalUsername nedir?
Kullanıcının sizin sisteminizdeki kimliği (e-posta, kullanıcı id’si, telefon). Touchque bunu yalnız referans olarak saklar. Kayıtta ve her girişte aynı değeri gönderin.
Sayı eşleştirme nedir?
Risk yüksekse ya da siz requireNumberMatch isterseniz yanıtta bir challengeCode gelir. Sayıyı sayfanızda gösterirsiniz, kullanıcı telefonda aynı sayıyı seçer. Böylece kimse "bıksın da onaylasın" diye push yağdıramaz ve kullanıcı yalnız kendi başlattığı girişi onaylar.
Bir kullanıcıya kaç push gidebilir?
Kullanıcı başına 10 dakikada en çok 5; sonrası 429 rate_limited ve retryAfter döner. Çok sayıda reddedilen istek 2FA’yı dondurur (423 frozen); kullanıcının kimliğini doğrulayıp secret’ı sıfırlayınca açılır.
K7P-2QX gibi vaka kodu nedir?
Her login.request yanıtı ve her ret, 6 karakterlik bir caseCode taşır. Kullanıcıya gösterin; ekibiniz panelde Logs → Look up a case alanına yazar ve kararı açar: nedenler, her kontrol ve neyin geçireceği. Bkz. Vaka kodları.
Yalnız girişi değil, ödemeleri de koruyabilir miyim?
Evet. type ile işlemi (ör. SEND_MONEY), details ile tutar ve alıcıyı gönderin: telefonda görünür ve onay bunlara bağlanır. Onayı bir kez kullanın. Bkz. Onayı kullan.
Güvenlik ve gizlilik
Push 2FA oltalamaya dayanıklı mı?
Tam değil. Sayı eşleştirme push yorgunluğunu durdurur, ama gerçek zamanlı çalışan bir sahte site girişi aktarabilir. Oltalamaya dayanıklı yöntem passkey’dir; kritik işlemler için passkey zorunlu tutabilirsiniz. Bkz. Oltalamaya dayanıklılık.
Touchque kullanıcılarım hakkında ne öğrenir?
Gönderdiklerinizi: externalUsername, IP adresi ve tarayıcı bilgisi, işlem türü ve ayrıntıları. Şifreler sizde kalır; Touchque şifre görmez.
Webhook’un gerçekten Touchque’dan geldiğini nasıl anlarım?
Her webhook x-signature başlığında, gövdenin API secret’ınızla HMAC-SHA256 imzasını taşır (Developers → Webhooks’taki Signing secret aynı değerdir). SDK’daki webhook.verify imzayı ve zaman damgasını kontrol eder; tekrarları jti ile ayıklayın.