多要素認証の強制ロックを自力で解除する方法

貢献 UX
1

最近、フォーラムの全ユーザーに対して多要素認証（MFA）の強制を開始しました。多くのユーザーがMFAの使い方をアドバイスするスレッドを見られないと指摘されました（多くのユーザーは技術に詳しくないためです）。

記事は匿名ユーザーにもアクセス可能ですが、ログインしているがMFAに登録していないユーザーはサイトの一切を見ることができません。彼らはユーザーのセキュリティ設定画面で以下のような状態に陥ってしまいます：

image
image571×292 16.3 KB

私個人としては、ユーザーがこの状況を処理できると期待していますが、認証アプリを使用していないユーザーやプライバシーに極端に敏感なユーザーに対しては、MFAを「よりプライバシーに配慮した方法」で使うよう指導しています。説教は不要です、そのことは理解しています。

強制メッセージに、推奨されるパスワードマネージャーや認証アプリの情報を埋め込んだり、認証アプリを搭載したデバイスの時刻が正確であることを確認するよう促したりできれば、よりユーザーを支援できるのにと思います。そうでなければ、明らかに知識不足の多くのユーザーが悪い体験をし、すでに起こっている以上の抵抗を示すことになるでしょう。

余談ですが、パスキーもMFAの一種です。これは解決されるべきでしょう。

「いいね！」 1
2

カスタマイズすれば可能です。以下の URL からサイトテキストをカスタマイズしてください：/admin/customize/site_texts?q=required%20to%20enable

image
image1910×672 61.4 KB

「いいね！」 2
3

上記のようにサイトテキストを編集するのが、簡単な指示を提供する最も簡単な方法ですが、その文脈ではテキストのみが利用可能です。

リンクや画像などの HTML を追加したい場合は、テーマとコンポーネントの管理エリアから新しいテーマコンポーネントを作成できます。

コンポーネントタブ（admin/config/customize/components）から「インストール」をクリックし、次に「新規作成」を選択して、わかりやすい名前を付けます。コンポーネントが作成されたら、「コードを編集」をクリックしてください。

そこから JS タブに移動し、以下のようなコードを追加できます。

  import { apiInitializer } from "discourse/lib/api";

  const CustomMessage = <template>
    <div class="custom-2fa-message">
       既存のコンテンツの上に、あなた独自のコンテンツをここに配置します。
       <a href="#">例のリンク</a>
    </div>
  </template>;

  export default apiInitializer("1.0", (api) => {
    api.renderBeforeWrapperOutlet("user-second-factor-wrapper", CustomMessage);
  });

image
image1100×978 58.4 KB

:backhand_index_pointing_up: この方法で、リンクや任意の HTML コンテンツを追加できます。

ここにリンクしたいトピックがある場合は、ページ公開機能を使用して、パブリックに公開できます。

4

「ご要望とは異なるかもしれませんが」という部門からのお知らせですが、二要素認証の有効化を促すために、ユーザーに1週間や1ヶ月の猶予を与え、それまで執拗に促し続けるという手もあります。current_user には second_factor_enabled が含まれているので、まだ有効化できていないユーザー向けに「終焉は近い」という大きなバナーを表示し、手順へのリンクを添えることも可能です。