Ativar, desativar e usar políticas de senha

Este documento mostra como usar políticas de senha para melhorar o nível de segurança da senha para usuários novos e atuais.

Informações gerais

Com as políticas de senha, é possível melhorar a segurança da conta aplicando requisitos de complexidade de senha. As políticas de senha têm suporte aos seguintes requisitos de senha:

  • Caractere minúsculo necessário
  • Caractere maiúsculo obrigatório
  • Caractere numérico obrigatório
  • É necessário usar um caractere não alfanumérico
  • Comprimento mínimo da senha (de 6 a 30 caracteres; o padrão é 6)
  • Tamanho máximo da senha (máximo de 4.096 caracteres)

Os caracteres a seguir atendem ao requisito de caracteres não alfanuméricos se configurados:

^ $ * . [ ] { } ( ) ? " ! @ # % & / \ , > < ' : ; | _ ~ `

Antes de começar

Modos de aplicação

É possível ativar a aplicação da política de senha de dois modos:

  • Requisito: as tentativas de login falham até que o usuário atualize para uma senha que obedeça à sua política.

  • Notificar: os usuários podem fazer login com uma senha que não está em conformidade. Todos os critérios ausentes necessários para atender à política são retornados. Os critérios retornados incluem:

    • MISSING_LOWERCASE_CHARACTER
    • MISSING_UPPERCASE_CHARACTER
    • MISSING_NUMERIC_CHARACTER
    • MISSING_NON_ALPHANUMERIC_CHARACTER
    • MINIMUM_PASSWORD_LENGTH
    • MAXIMUM_PASSWORD_LENGTH

    É possível enviar essas informações ao usuário para que ele atualize a senha. O exemplo a seguir mostra uma resposta contendo critérios de senha ausentes:

    {
  "kind": "identitytoolkit#VerifyPasswordResponse",
  "localId": "CJL1i2",
  "email": "cloudysanfrancisco@gmail.com",
  "displayName": "",
  "idToken": "ID_TOKEN",
  "registered": true,
  "userNotifications": [
    {
      "notificationCode": "MISSING_NUMERIC_CHARACTER",
      "notificationMessage": "Password must contain a numeric character"
    },
    {
      "notificationCode": "MISSING_NON_ALPHANUMERIC_CHARACTER",
      "notificationMessage": "Password must contain a non-alphanumeric character"
    }
  ]
}

Os novos usuários precisam escolher uma senha que obedeça à política. Se você tiver usuários ativos, recomendamos não ativar o modo "Exigir" a menos que pretendemos aplicar imediatamente a política de senha. Em vez disso, use o modo de notificação, que permite que os usuários façam login com as senhas atuais e envie notificações detalhando os requisitos que não têm a senha.

Ao ativar a aplicação, defina forceUpgradeOnSignin como true para ativá-la no modo obrigatório. Defina-o como false para ativar a aplicação no modo de notificação.

Ativar aplicação

Para aplicar uma política de senha, faça o seguinte:

  1. Se ainda não tiver feito isso, configure o login com e-mail e senha.

  2. Para aplicar uma política de senha no nível do projeto, execute o seguinte:

    import { getAuth } from 'firebase-admin/auth';

// Update project config with password policy config
getAuth().projectConfigManager().updateProjectConfig({
  passwordPolicyConfig: {
    enforcementState: 'ENFORCE',
    forceUpgradeOnSignin: true,
    constraints: {
      requireUppercase: true,
      requireLowercase: true,
      requireNonAlphanumeric: true,
      requireNumeric: true,
      minLength: MIN_PASSWORD_LENGTH,
      maxLength: MAX_PASSWORD_LENGTH,
    },
  },
})

    Substitua:

    • MIN_PASSWORD_LENGTH: o tamanho mínimo de senha exigido
    • MAX_PASSWORD_LENGTH: o tamanho máximo da senha exigido

  3. Para aplicar uma política de senha no nível do locatário, execute o comando a seguir:

    import { getAuth } from 'firebase-admin/auth';

// Update project config with password policy config
getAuth().tenantConfigManager().createTenant({
  displayName: "admin-tenant",
  passwordPolicyConfig: {
    enforcementState: 'ENFORCE',
    forceUpgradeOnSignin: true,
    constraints: {
      requireUppercase: true,
      requireLowercase: true,
      requireNonAlphanumeric: true,
      requireNumeric: true,
      minLength: MIN_PASSWORD_LENGTH,
      maxLength: MAX_PASSWORD_LENGTH,
    },
  },
})

Desativar a aplicação

  1. Para desativar a aplicação da política de senha no nível do projeto, execute o seguinte:

    import { getAuth } from 'firebase-admin/auth';

// Update project config with password policy config
getAuth().projectConfigManager().updateProjectConfig({
  passwordPolicyConfig: {
    enforcementState: 'OFF',
  },
})

  2. Para desativar a aplicação da política de senha no nível do locatário, execute o comando a seguir:

    import { getAuth } from 'firebase-admin/auth';

// Update tenant config with password policy config
getAuth().tenantConfigManager().updateTenant(TENANT-ID, {
  passwordPolicyConfig: {
    enforcementState: 'OFF',
  },
})

    Substitua TENANT-ID pelo ID do locatário para desativar uma política de senha.

Aplicação no lado do cliente

As senhas podem ser validadas em relação à política de senha do projeto ou um locatário do lado do cliente antes do envio.

import { getAuth, validatePassword } from 'firebase/auth';

const auth = getAuth();
auth.tenantId = TENANT-ID;

const status = await validatePassword(auth, 'password').catch((error) => {
  // Password could not be validated.
});
const policy = status.passwordPolicy;

// Use the status and policy to show what requirements are met and which are missing.