@adonis-agora/authkit-server 0.49.0 → 0.51.0

package/build/src/host/rate_limit.d.ts

@@ -30,6 +30,12 @@ export interface AuthThrottles {
      * orçamentos não poderem se consumir.
      */
     sudo: ThrottleMiddleware;
+    /**
+     * Throttle da verificação de código OTP de login, keyed por IP em bucket
+     * PRÓPRIO (`authkit_otp_login`) e mais apertado que o `login`. Primeira barreira
+     * anti-brute-force do código adivinhável, ANTES do lockout por interaction.
+     */
+    otpLogin: ThrottleMiddleware;
 }
 /**
  * Service do `@adonisjs/limiter` resolvido de forma preguiçosa. Tipado como `any`

package/build/src/host/rate_limit.js

@@ -96,5 +96,8 @@ export function createAuthThrottles(config) {
         // mesmo vindo do mesmo IP. Sem `usingKey` próprio de propósito: inventar uma
         // key aqui seria mudar o EIXO da contagem, e o eixo certo continua sendo o IP.
         sudo: buildThrottle('authkit_sudo', config.sudo, config.store),
+        // Verificação de código OTP: keyed por IP (default), bucket próprio e mais
+        // apertado que o login. O namespace do nome mantém a contagem separada.
+        otpLogin: buildThrottle('authkit_otp_login', config.otpLogin, config.store),
     };
 }

package/build/src/host/register_auth_host.js

@@ -256,6 +256,11 @@ export function registerAuthHost(router, opts = {}) {
         if (throttles)
             route.use([throttles.sudo]);
     };
+    // Bucket PRÓPRIO da verificação de código OTP: mais apertado que o login, por IP.
+    const withOtpLogin = (route) => {
+        if (throttles)
+            route.use([throttles.otpLogin]);
+    };
     // ─── Assets estáticos do host-kit (públicos, sem autenticação) ─────────────
     // Bundle do @simplewebauthn/browser servido pelo próprio app, no lugar do
     // import de CDN público que as views de login/MFA/confirm faziam.
@@ -286,6 +291,9 @@ export function registerAuthHost(router, opts = {}) {
     // Magic link (passwordless): POST emite (throttled), GET consome o token do link.
     withLogin(router.post('/auth/interaction/:uid/magic', [C.interaction, 'magicLinkRequest']));
     router.get('/auth/interaction/:uid/magic', [C.interaction, 'magicLinkConsume']);
+    // Login por OTP (código digitável): verifica o código no bucket dedicado
+    // `authkit_otp_login` (por IP, mais apertado que o login).
+    withOtpLogin(router.post('/auth/interaction/:uid/otp-verify', [C.interaction, 'otpVerify']));
     router.post('/auth/interaction/:uid/consent', [C.interaction, 'consent']);
     router.get('/auth/interaction/:uid/switch', [C.interaction, 'switchIdentifier']);
     // OTP unlock: link enviado por e-mail quando o fator TOTP/recovery é travado.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.49.0",
+  "version": "0.51.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",