Het opnieuw inloggen na ... dagen zelf instellen

[MaaikevEijk]

In de beheerdersdocumentatie van de Youforce app v7, p6 staat:

"Na 300 dagen vragen we je pas om opnieuw in te loggen."

Bij mij in de organisatie is het beleid dat dit maximaal 90 dagen mag zijn. Graag zou ik de mogelijkheid willen om uit verschillende termijnen te kiezen of om zelf een aantal dagen op te kunnen geven.

[Remco te Ronde]

Beste @MaaikevEijk,

Bedankt voor je idee!

De manier van inloggen en authenticeren in de Youforce app is vergelijkbaar met andere apps met privacygevoelige informatie, zoals de app van je bank of de DigiD app.

Op basis van jouw idee en de handleiding lijkt het dat er slechts eens per 300 dagen (zoals beschreven in de handleiding) of eens per 90 dagen (zoals in jouw idee) wordt gecontroleerd of de login nog geldig is. 

Dat is natuurlijk niet zo. Er wordt juist veelvuldig gecontroleerd of de login geldig is. Het werkt als volgt:

Zodra de gebruiker is geauthentiseerd, door middel van het inloggen, moeten gebruikers zich elke keer dat ze de Youforce app openen aanmelden middels het authenticatiemechanisme van de smartphone. Denk aan biometrie (vingerafdruk of gezichtsherkenning) of een pincode van 6 cijfers. Probeer maar eens de Youforce app volledig te sluiten/weg te swipen en daarna opnieuw te openen.

Net zoals de app van je bank is het ook voor de Youforce-app belangrijk om de juiste balans te bewaren tussen beveiliging, bruikbaarheid en privacy.

Veel gebruikers vinden het volledig inloggen (gebruikersnaam, wachtwoord en vaak nog een 2de factor) erg ingewikkeld en omslachtig. Door gebruik te maken van biometrie (vingerafdruk/gezichtsherkenning) of pincode kunnen mobiele telefoons authenticatiemethoden implementeren om de identiteit van de gebruiker te bewijzen. Deze biometrische beveiliging/pincode maken het bijna onmogelijk voor kwaadwillende om de verbinding van een app op je telefoon telefoon te vervalsen of voor de gek te houden.

Daarom maken we na het inloggen gebruik van deze biometrische mogelijkheden, het authentiseren is dan eenvoudig, snel en veilig.

Om het héél specifiek te maken hoe dit werkt, we gebruiken zogenaamde ''refresh-tokens''. 

Hieronder proberen we het zo simpel mogelijk uit te leggen, maar wellicht kan een collega van je eigen ICT afdeling nog beter uitleggen hoe dit werk.

Na deze biometrische authenticatie handelt de Youforce-app de verbinding af via de standaard OAuth 2.0 flow. Voor de veiligheid, heeft het “access-token” (dat bepaalt of gebruiker een geldige actieve verbinding heeft) een korte levensduur. Na 2 uur wordt het “access-token” vernieuwd met een “refresh-token” zonder dat de gebruiker opnieuw hoeft in te loggen. Om ongeoorloofde toegang te voorkomen wordt deze “refresh-tokens” voortdurend uitgewisseld en ongeldig gemaakt. We hebben de levensduur van onze “refresh-tokens” ingesteld op 300 dagen, conform industrie-standaarden voor zogenaamde “long-lived sessions”. Deze “long-lived sessions” zijn zeer gebruikelijk in de wereld van apps omdat ze zowel veiligheid als een goede gebruikerservaring garanderen.

Door deze inrichting is niet relevant om het aantal dagen instelbaar te maken, we zullen deze wens dan ook afwijzen.