@arthur.eudeline/payload-plugin-mfa 0.1.1

package/dist/hooks.js

@@ -0,0 +1,100 @@
+import { consumeBackupCode } from './backup-codes.js';
+import { codedError } from './coded-error.js';
+import { MFA_ERROR_CODES } from './errors.js';
+import { resolveLabels } from './i18n.js';
+import { isMfaLocked, readMfaState, registerMfaFailure, writeMfaState } from './state.js';
+import { verifyTotp } from './totp.js';
+/**
+ * Marqueur posé par `beforeLogin` pour que `afterError` sache, une fois la transaction de connexion
+ * annulée, quel compte doit voir son compteur d'échecs incrémenté.
+ *
+ * Volontairement une `WeakMap` sur la requête plutôt que `req.context` : `createLocalReq` remplace
+ * `req.context` par un nouvel objet à chaque appel de l'API locale à qui on passe `req` — tout ce
+ * qu'on y écrirait serait silencieusement perdu au prochain `payload.find`. La requête, elle, reste
+ * le même objet d'un bout à l'autre, et la clé faible ne retient rien après la réponse.
+ */
+const pendingFailures = new WeakMap();
+function readSubmittedCode(data) {
+    if (typeof data !== 'object' || data === null)
+        return null;
+    const value = data.mfaCode;
+    return typeof value === 'string' && value.trim() !== '' ? value.trim() : null;
+}
+/**
+ * Second facteur, appliqué après la vérification du mot de passe et avant l'émission du JWT.
+ *
+ * Les écritures du chemin nominal passent par `req`, donc par la transaction ouverte par
+ * `loginOperation` : écrire la ligne utilisateur depuis une transaction concurrente attendrait un
+ * verrou que seule la fin de la connexion libère, et la requête ne se terminerait jamais.
+ *
+ * Le compteur d'échecs, lui, doit survivre à l'annulation de cette transaction : il est écrit par
+ * `createMfaAfterErrorHook`, qui s'exécute après le `killTransaction`.
+ */
+export function createMfaBeforeLoginHook(ctx) {
+    return async ({ req, user }) => {
+        const { payload } = req;
+        const t = resolveLabels(ctx.language ?? req.i18n?.language, ctx.labels);
+        const state = await readMfaState(payload, ctx, user.id, req);
+        if (!state.enabled || !state.secret)
+            return user;
+        if (isMfaLocked(state)) {
+            throw codedError(MFA_ERROR_CODES.locked, t.tooManyAttempts, 429);
+        }
+        const submitted = readSubmittedCode(req.data);
+        if (!submitted) {
+            throw codedError(MFA_ERROR_CODES.required, t.codeRequired, 401);
+        }
+        if (!(await acceptCode(payload, ctx, user.id, state, submitted, req))) {
+            pendingFailures.set(req, user.id);
+            throw codedError(MFA_ERROR_CODES.invalid, t.codeInvalid, 401);
+        }
+        return user;
+    };
+}
+/**
+ * Incrémente le compteur d'échecs, et pose le verrou au bout de `maxAttempts`.
+ *
+ * S'exécute depuis `routeError`, donc après que `loginOperation` a annulé sa transaction : les
+ * verrous sont retombés, l'écriture aboutit, et elle n'est plus emportée par l'annulation.
+ */
+export function createMfaAfterErrorHook(ctx) {
+    return async ({ req }) => {
+        const userId = pendingFailures.get(req);
+        if (userId === undefined)
+            return;
+        pendingFailures.delete(req);
+        try {
+            const state = await readMfaState(req.payload, ctx, userId);
+            await registerMfaFailure(req.payload, ctx, userId, state);
+        }
+        catch (cause) {
+            // Ce hook s'exécute pendant la construction d'une réponse d'erreur : lever ici masquerait le
+            // 401 par un 500. On journalise et on laisse passer.
+            req.payload.logger.error({ err: cause }, 'MFA : échec de l’enregistrement d’une tentative.');
+        }
+    };
+}
+/**
+ * Un code à 6 chiffres est traité comme un code TOTP, tout le reste comme un code de secours :
+ * les deux formats sont disjoints (`XXXX-XXXX` en base32 sans chiffres 0/1).
+ */
+async function acceptCode(payload, ctx, userId, state, submitted, req) {
+    const digitsOnly = submitted.replace(/\D/g, '');
+    if (digitsOnly.length === 6 && state.secret) {
+        const result = verifyTotp({
+            lastCounter: state.lastCounter,
+            secret: state.secret,
+            token: digitsOnly,
+        });
+        if (!result.valid)
+            return false;
+        await writeMfaState(payload, ctx, userId, { failedAttempts: 0, lastCounter: result.counter, lockedUntil: null }, req);
+        return true;
+    }
+    const { codes, matched } = consumeBackupCode(state.backupCodes, submitted);
+    if (!matched)
+        return false;
+    await writeMfaState(payload, ctx, userId, { backupCodes: codes, failedAttempts: 0, lockedUntil: null }, req);
+    return true;
+}
+//# sourceMappingURL=hooks.js.map

package/dist/hooks.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"hooks.js","sourceRoot":"","sources":["../src/hooks.ts"],"names":[],"mappings":"AAOA,OAAO,EAAE,iBAAiB,EAAE,MAAM,mBAAmB,CAAC;AACtD,OAAO,EAAE,UAAU,EAAE,MAAM,kBAAkB,CAAC;AAC9C,OAAO,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AAC9C,OAAO,EAAE,aAAa,EAAE,MAAM,WAAW,CAAC;AAC1C,OAAO,EAAE,WAAW,EAAE,YAAY,EAAE,kBAAkB,EAAE,aAAa,EAAE,MAAM,YAAY,CAAC;AAE1F,OAAO,EAAE,UAAU,EAAE,MAAM,WAAW,CAAC;AAGvC;;;;;;;;GAQG;AACH,MAAM,eAAe,GAAG,IAAI,OAAO,EAAmC,CAAC;AAEvE,SAAS,iBAAiB,CAAC,IAAa;IACtC,IAAI,OAAO,IAAI,KAAK,QAAQ,IAAI,IAAI,KAAK,IAAI;QAAE,OAAO,IAAI,CAAC;IAC3D,MAAM,KAAK,GAAI,IAA8B,CAAC,OAAO,CAAC;IACtD,OAAO,OAAO,KAAK,KAAK,QAAQ,IAAI,KAAK,CAAC,IAAI,EAAE,KAAK,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,IAAI,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC;AAChF,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,UAAU,wBAAwB,CAAC,GAAe;IACtD,OAAO,KAAK,EAAE,EAAE,GAAG,EAAE,IAAI,EAAE,EAAE,EAAE;QAC7B,MAAM,EAAE,OAAO,EAAE,GAAG,GAAG,CAAC;QACxB,MAAM,CAAC,GAAG,aAAa,CAAC,GAAG,CAAC,QAAQ,IAAI,GAAG,CAAC,IAAI,EAAE,QAAQ,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC;QACxE,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,OAAO,EAAE,GAAG,EAAE,IAAI,CAAC,EAAE,EAAE,GAAG,CAAC,CAAC;QAE7D,IAAI,CAAC,KAAK,CAAC,OAAO,IAAI,CAAC,KAAK,CAAC,MAAM;YAAE,OAAO,IAAI,CAAC;QAEjD,IAAI,WAAW,CAAC,KAAK,CAAC,EAAE,CAAC;YACvB,MAAM,UAAU,CAAC,eAAe,CAAC,MAAM,EAAE,CAAC,CAAC,eAAe,EAAE,GAAG,CAAC,CAAC;QACnE,CAAC;QAED,MAAM,SAAS,GAAG,iBAAiB,CAAC,GAAG,CAAC,IAAI,CAAC,CAAC;QAC9C,IAAI,CAAC,SAAS,EAAE,CAAC;YACf,MAAM,UAAU,CAAC,eAAe,CAAC,QAAQ,EAAE,CAAC,CAAC,YAAY,EAAE,GAAG,CAAC,CAAC;QAClE,CAAC;QAED,IAAI,CAAC,CAAC,MAAM,UAAU,CAAC,OAAO,EAAE,GAAG,EAAE,IAAI,CAAC,EAAE,EAAE,KAAK,EAAE,SAAS,EAAE,GAAG,CAAC,CAAC,EAAE,CAAC;YACtE,eAAe,CAAC,GAAG,CAAC,GAAG,EAAE,IAAI,CAAC,EAAE,CAAC,CAAC;YAClC,MAAM,UAAU,CAAC,eAAe,CAAC,OAAO,EAAE,CAAC,CAAC,WAAW,EAAE,GAAG,CAAC,CAAC;QAChE,CAAC;QAED,OAAO,IAAI,CAAC;IACd,CAAC,CAAC;AACJ,CAAC;AAED;;;;;GAKG;AACH,MAAM,UAAU,uBAAuB,CAAC,GAAe;IACrD,OAAO,KAAK,EAAE,EAAE,GAAG,EAAE,EAAE,EAAE;QACvB,MAAM,MAAM,GAAG,eAAe,CAAC,GAAG,CAAC,GAAG,CAAC,CAAC;QACxC,IAAI,MAAM,KAAK,SAAS;YAAE,OAAO;QACjC,eAAe,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC;QAE5B,IAAI,CAAC;YACH,MAAM,KAAK,GAAG,MAAM,YAAY,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,EAAE,MAAM,CAAC,CAAC;YAC3D,MAAM,kBAAkB,CAAC,GAAG,CAAC,OAAO,EAAE,GAAG,EAAE,MAAM,EAAE,KAAK,CAAC,CAAC;QAC5D,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YACf,6FAA6F;YAC7F,qDAAqD;YACrD,GAAG,CAAC,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,EAAE,GAAG,EAAE,KAAK,EAAE,EAAE,kDAAkD,CAAC,CAAC;QAC/F,CAAC;IACH,CAAC,CAAC;AACJ,CAAC;AAED;;;GAGG;AACH,KAAK,UAAU,UAAU,CACvB,OAAgB,EAChB,GAAe,EACf,MAAuB,EACvB,KAAe,EACf,SAAiB,EACjB,GAAmB;IAEnB,MAAM,UAAU,GAAG,SAAS,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IAEhD,IAAI,UAAU,CAAC,MAAM,KAAK,CAAC,IAAI,KAAK,CAAC,MAAM,EAAE,CAAC;QAC5C,MAAM,MAAM,GAAG,UAAU,CAAC;YACxB,WAAW,EAAE,KAAK,CAAC,WAAW;YAC9B,MAAM,EAAE,KAAK,CAAC,MAAM;YACpB,KAAK,EAAE,UAAU;SAClB,CAAC,CAAC;QACH,IAAI,CAAC,MAAM,CAAC,KAAK;YAAE,OAAO,KAAK,CAAC;QAEhC,MAAM,aAAa,CACjB,OAAO,EACP,GAAG,EACH,MAAM,EACN,EAAE,cAAc,EAAE,CAAC,EAAE,WAAW,EAAE,MAAM,CAAC,OAAO,EAAE,WAAW,EAAE,IAAI,EAAE,EACrE,GAAG,CACJ,CAAC;QACF,OAAO,IAAI,CAAC;IACd,CAAC;IAED,MAAM,EAAE,KAAK,EAAE,OAAO,EAAE,GAAG,iBAAiB,CAAC,KAAK,CAAC,WAAW,EAAE,SAAS,CAAC,CAAC;IAC3E,IAAI,CAAC,OAAO;QAAE,OAAO,KAAK,CAAC;IAE3B,MAAM,aAAa,CACjB,OAAO,EACP,GAAG,EACH,MAAM,EACN,EAAE,WAAW,EAAE,KAAK,EAAE,cAAc,EAAE,CAAC,EAAE,WAAW,EAAE,IAAI,EAAE,EAC5D,GAAG,CACJ,CAAC;IACF,OAAO,IAAI,CAAC;AACd,CAAC"}

package/dist/i18n.d.ts

@@ -0,0 +1,49 @@
+/**
+ * Table de libellés autonome, plutôt qu'un branchement sur `config.i18n.translations`.
+ *
+ * Le plugin doit fonctionner sans que le projet hôte ait à déclarer quoi que ce soit, y compris
+ * dans un composant client où seule la langue de l'admin est connue. La table reste minuscule, et
+ * un projet peut la surcharger langue par langue via l'option `labels`.
+ */
+export type MfaLabels = {
+    /** Panneau d'enrôlement */
+    panelTitle: string;
+    loading: string;
+    /** `{count}` est remplacé par le nombre de codes de secours restants. */
+    statusEnabled: string;
+    statusDisabled: string;
+    enableButton: string;
+    setupInstructions: string;
+    qrAlt: string;
+    manualEntry: string;
+    codeFieldLabel: string;
+    confirmButton: string;
+    regenerateButton: string;
+    disableButton: string;
+    backupCodesWarning: string;
+    backupCodesWarningLead: string;
+    /** Formulaire de connexion */
+    loginCodeLabel: string;
+    loginCodeDescription: string;
+    loginBack: string;
+    /** Messages d'erreur (serveur et client) */
+    alreadyEnabled: string;
+    authRequired: string;
+    codeInvalid: string;
+    codeRequired: string;
+    notEnabled: string;
+    noPendingSetup: string;
+    setupCodeInvalid: string;
+    tooManyAttempts: string;
+    unknownError: string;
+};
+export declare const builtInLabels: Record<string, MfaLabels>;
+export type MfaLabelOverrides = Record<string, Partial<MfaLabels>>;
+/**
+ * Anglais par défaut, écrasé par la langue demandée puis par les surcharges du projet. Une langue
+ * inconnue retombe donc sur l'anglais plutôt que d'afficher des clés brutes.
+ */
+export declare function resolveLabels(language?: string, overrides?: MfaLabelOverrides): MfaLabels;
+/** Remplace les `{jeton}` d'un libellé par les valeurs fournies. */
+export declare function format(label: string, values: Record<string, number | string>): string;
+//# sourceMappingURL=i18n.d.ts.map

package/dist/i18n.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"i18n.d.ts","sourceRoot":"","sources":["../src/i18n.ts"],"names":[],"mappings":"AAAA;;;;;;GAMG;AACH,MAAM,MAAM,SAAS,GAAG;IACtB,2BAA2B;IAC3B,UAAU,EAAE,MAAM,CAAC;IACnB,OAAO,EAAE,MAAM,CAAC;IAChB,yEAAyE;IACzE,aAAa,EAAE,MAAM,CAAC;IACtB,cAAc,EAAE,MAAM,CAAC;IACvB,YAAY,EAAE,MAAM,CAAC;IACrB,iBAAiB,EAAE,MAAM,CAAC;IAC1B,KAAK,EAAE,MAAM,CAAC;IACd,WAAW,EAAE,MAAM,CAAC;IACpB,cAAc,EAAE,MAAM,CAAC;IACvB,aAAa,EAAE,MAAM,CAAC;IACtB,gBAAgB,EAAE,MAAM,CAAC;IACzB,aAAa,EAAE,MAAM,CAAC;IACtB,kBAAkB,EAAE,MAAM,CAAC;IAC3B,sBAAsB,EAAE,MAAM,CAAC;IAE/B,8BAA8B;IAC9B,cAAc,EAAE,MAAM,CAAC;IACvB,oBAAoB,EAAE,MAAM,CAAC;IAC7B,SAAS,EAAE,MAAM,CAAC;IAElB,4CAA4C;IAC5C,cAAc,EAAE,MAAM,CAAC;IACvB,YAAY,EAAE,MAAM,CAAC;IACrB,WAAW,EAAE,MAAM,CAAC;IACpB,YAAY,EAAE,MAAM,CAAC;IACrB,UAAU,EAAE,MAAM,CAAC;IACnB,cAAc,EAAE,MAAM,CAAC;IACvB,gBAAgB,EAAE,MAAM,CAAC;IACzB,eAAe,EAAE,MAAM,CAAC;IACxB,YAAY,EAAE,MAAM,CAAC;CACtB,CAAC;AAsEF,eAAO,MAAM,aAAa,EAAE,MAAM,CAAC,MAAM,EAAE,SAAS,CAAc,CAAC;AAEnE,MAAM,MAAM,iBAAiB,GAAG,MAAM,CAAC,MAAM,EAAE,OAAO,CAAC,SAAS,CAAC,CAAC,CAAC;AAEnE;;;GAGG;AACH,wBAAgB,aAAa,CAAC,QAAQ,CAAC,EAAE,MAAM,EAAE,SAAS,CAAC,EAAE,iBAAiB,GAAG,SAAS,CAGzF;AAED,oEAAoE;AACpE,wBAAgB,MAAM,CAAC,KAAK,EAAE,MAAM,EAAE,MAAM,EAAE,MAAM,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,CAAC,GAAG,MAAM,CAIrF"}

package/dist/i18n.js

@@ -0,0 +1,70 @@
+const en = {
+    panelTitle: 'Two-factor authentication',
+    loading: 'Loading…',
+    statusEnabled: 'Enabled. {count} backup code(s) left.',
+    statusDisabled: 'Disabled. Your account is protected by your password only.',
+    enableButton: 'Enable two-factor authentication',
+    setupInstructions: 'Scan this QR code with your authenticator app, then enter the code it shows to confirm.',
+    qrAlt: 'Setup QR code',
+    manualEntry: 'Manual entry:',
+    codeFieldLabel: '6-digit code',
+    confirmButton: 'Confirm and enable',
+    regenerateButton: 'Regenerate backup codes',
+    disableButton: 'Disable',
+    backupCodesWarningLead: 'Write these backup codes down now.',
+    backupCodesWarning: 'They will never be shown again and each one works only once. They let you sign in if you lose your phone.',
+    loginCodeLabel: 'Two-factor code',
+    loginCodeDescription: 'The 6-digit code from your authenticator app, or one of your backup codes.',
+    loginBack: 'Back to sign in',
+    alreadyEnabled: 'Two-factor authentication is already enabled. Disable it first.',
+    authRequired: 'Authentication required.',
+    codeInvalid: 'Invalid two-factor code.',
+    codeRequired: 'Two-factor code required.',
+    notEnabled: 'Two-factor authentication is not enabled.',
+    noPendingSetup: 'No setup in progress. Start enrolment again.',
+    setupCodeInvalid: 'Invalid code. Check the clock on your phone.',
+    tooManyAttempts: 'Too many invalid codes. Try again in a few minutes.',
+    unknownError: 'Something went wrong.',
+};
+const fr = {
+    panelTitle: 'Double authentification',
+    loading: 'Chargement…',
+    statusEnabled: 'Activée. {count} code(s) de secours restant(s).',
+    statusDisabled: 'Désactivée. Votre compte n’est protégé que par votre mot de passe.',
+    enableButton: 'Activer la double authentification',
+    setupInstructions: 'Scannez ce QR code avec votre application d’authentification, puis saisissez le code affiché pour confirmer.',
+    qrAlt: 'QR code de configuration',
+    manualEntry: 'Saisie manuelle :',
+    codeFieldLabel: 'Code à 6 chiffres',
+    confirmButton: 'Confirmer et activer',
+    regenerateButton: 'Régénérer les codes de secours',
+    disableButton: 'Désactiver',
+    backupCodesWarningLead: 'Notez ces codes de secours maintenant.',
+    backupCodesWarning: 'Ils ne seront plus jamais affichés et chacun ne fonctionne qu’une fois. Ils permettent de se connecter si vous perdez votre téléphone.',
+    loginCodeLabel: 'Code de double authentification',
+    loginCodeDescription: 'Code à 6 chiffres de votre application d’authentification, ou l’un de vos codes de secours.',
+    loginBack: 'Revenir à l’identification',
+    alreadyEnabled: 'La double authentification est déjà activée. Désactivez-la d’abord.',
+    authRequired: 'Authentification requise.',
+    codeInvalid: 'Code de double authentification invalide.',
+    codeRequired: 'Code de double authentification requis.',
+    notEnabled: 'La double authentification n’est pas activée.',
+    noPendingSetup: 'Aucune configuration en attente. Relancez l’activation.',
+    setupCodeInvalid: 'Code invalide. Vérifiez l’heure de votre téléphone.',
+    tooManyAttempts: 'Trop de codes invalides. Réessayez dans quelques minutes.',
+    unknownError: 'Une erreur est survenue.',
+};
+export const builtInLabels = { en, fr };
+/**
+ * Anglais par défaut, écrasé par la langue demandée puis par les surcharges du projet. Une langue
+ * inconnue retombe donc sur l'anglais plutôt que d'afficher des clés brutes.
+ */
+export function resolveLabels(language, overrides) {
+    const lang = language ?? 'en';
+    return { ...en, ...builtInLabels[lang], ...overrides?.[lang] };
+}
+/** Remplace les `{jeton}` d'un libellé par les valeurs fournies. */
+export function format(label, values) {
+    return label.replace(/\{(\w+)\}/g, (match, key) => key in values ? String(values[key]) : match);
+}
+//# sourceMappingURL=i18n.js.map

package/dist/i18n.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"i18n.js","sourceRoot":"","sources":["../src/i18n.ts"],"names":[],"mappings":"AA0CA,MAAM,EAAE,GAAc;IACpB,UAAU,EAAE,2BAA2B;IACvC,OAAO,EAAE,UAAU;IACnB,aAAa,EAAE,uCAAuC;IACtD,cAAc,EAAE,4DAA4D;IAC5E,YAAY,EAAE,kCAAkC;IAChD,iBAAiB,EACf,yFAAyF;IAC3F,KAAK,EAAE,eAAe;IACtB,WAAW,EAAE,eAAe;IAC5B,cAAc,EAAE,cAAc;IAC9B,aAAa,EAAE,oBAAoB;IACnC,gBAAgB,EAAE,yBAAyB;IAC3C,aAAa,EAAE,SAAS;IACxB,sBAAsB,EAAE,oCAAoC;IAC5D,kBAAkB,EAChB,2GAA2G;IAE7G,cAAc,EAAE,iBAAiB;IACjC,oBAAoB,EAClB,4EAA4E;IAC9E,SAAS,EAAE,iBAAiB;IAE5B,cAAc,EAAE,iEAAiE;IACjF,YAAY,EAAE,0BAA0B;IACxC,WAAW,EAAE,0BAA0B;IACvC,YAAY,EAAE,2BAA2B;IACzC,UAAU,EAAE,2CAA2C;IACvD,cAAc,EAAE,8CAA8C;IAC9D,gBAAgB,EAAE,8CAA8C;IAChE,eAAe,EAAE,qDAAqD;IACtE,YAAY,EAAE,uBAAuB;CACtC,CAAC;AAEF,MAAM,EAAE,GAAc;IACpB,UAAU,EAAE,yBAAyB;IACrC,OAAO,EAAE,aAAa;IACtB,aAAa,EAAE,iDAAiD;IAChE,cAAc,EAAE,oEAAoE;IACpF,YAAY,EAAE,oCAAoC;IAClD,iBAAiB,EACf,8GAA8G;IAChH,KAAK,EAAE,0BAA0B;IACjC,WAAW,EAAE,mBAAmB;IAChC,cAAc,EAAE,mBAAmB;IACnC,aAAa,EAAE,sBAAsB;IACrC,gBAAgB,EAAE,gCAAgC;IAClD,aAAa,EAAE,YAAY;IAC3B,sBAAsB,EAAE,wCAAwC;IAChE,kBAAkB,EAChB,wIAAwI;IAE1I,cAAc,EAAE,iCAAiC;IACjD,oBAAoB,EAClB,6FAA6F;IAC/F,SAAS,EAAE,4BAA4B;IAEvC,cAAc,EAAE,qEAAqE;IACrF,YAAY,EAAE,2BAA2B;IACzC,WAAW,EAAE,2CAA2C;IACxD,YAAY,EAAE,yCAAyC;IACvD,UAAU,EAAE,+CAA+C;IAC3D,cAAc,EAAE,yDAAyD;IACzE,gBAAgB,EAAE,qDAAqD;IACvE,eAAe,EAAE,2DAA2D;IAC5E,YAAY,EAAE,0BAA0B;CACzC,CAAC;AAEF,MAAM,CAAC,MAAM,aAAa,GAA8B,EAAE,EAAE,EAAE,EAAE,EAAE,CAAC;AAInE;;;GAGG;AACH,MAAM,UAAU,aAAa,CAAC,QAAiB,EAAE,SAA6B;IAC5E,MAAM,IAAI,GAAG,QAAQ,IAAI,IAAI,CAAC;IAC9B,OAAO,EAAE,GAAG,EAAE,EAAE,GAAG,aAAa,CAAC,IAAI,CAAC,EAAE,GAAG,SAAS,EAAE,CAAC,IAAI,CAAC,EAAE,CAAC;AACjE,CAAC;AAED,oEAAoE;AACpE,MAAM,UAAU,MAAM,CAAC,KAAa,EAAE,MAAuC;IAC3E,OAAO,KAAK,CAAC,OAAO,CAAC,YAAY,EAAE,CAAC,KAAK,EAAE,GAAW,EAAE,EAAE,CACxD,GAAG,IAAI,MAAM,CAAC,CAAC,CAAC,MAAM,CAAC,MAAM,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,KAAK,CAC5C,CAAC;AACJ,CAAC"}

package/dist/index.d.ts

@@ -0,0 +1,19 @@
+import type { Plugin } from 'payload';
+import type { MfaPluginOptions } from './types.js';
+export { MFA_ERROR_CODES, type MfaErrorCode } from './errors.js';
+export { builtInLabels, type MfaLabelOverrides, type MfaLabels } from './i18n.js';
+export { resetMfa, type ResetMfaArgs } from './reset.js';
+export type { MfaPluginOptions } from './types.js';
+/**
+ * Double authentification TOTP pour le panneau d'administration Payload.
+ *
+ * Ajoute à chaque collection visée un groupe de champs chiffrés, cinq endpoints `/mfa/*`, un hook
+ * `beforeLogin` qui exige le second facteur et le panneau d'enrôlement dans la vue du compte. Par
+ * défaut, la vue `/admin/login` est remplacée par un formulaire en deux temps — le formulaire natif
+ * de Payload ne sait pas envoyer de champ supplémentaire.
+ *
+ * Après installation : `pnpm payload generate:types`, `pnpm payload generate:importmap`, puis une
+ * migration (le plugin ajoute des colonnes).
+ */
+export declare const mfaPlugin: (options?: MfaPluginOptions) => Plugin;
+//# sourceMappingURL=index.d.ts.map

package/dist/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAU,MAAM,EAAE,MAAM,SAAS,CAAC;AAK9C,OAAO,KAAK,EAAc,gBAAgB,EAAE,MAAM,YAAY,CAAC;AAE/D,OAAO,EAAE,eAAe,EAAE,KAAK,YAAY,EAAE,MAAM,aAAa,CAAC;AACjE,OAAO,EAAE,aAAa,EAAE,KAAK,iBAAiB,EAAE,KAAK,SAAS,EAAE,MAAM,WAAW,CAAC;AAClF,OAAO,EAAE,QAAQ,EAAE,KAAK,YAAY,EAAE,MAAM,YAAY,CAAC;AACzD,YAAY,EAAE,gBAAgB,EAAE,MAAM,YAAY,CAAC;AAKnD;;;;;;;;;;GAUG;AACH,eAAO,MAAM,SAAS,GACnB,UAAS,gBAAqB,KAAG,MA+EjC,CAAC"}

package/dist/index.js

@@ -0,0 +1,86 @@
+import { createMfaFields } from './fields.js';
+import { createMfaAfterErrorHook, createMfaBeforeLoginHook } from './hooks.js';
+import { createMfaEndpoints } from './endpoints.js';
+export { MFA_ERROR_CODES } from './errors.js';
+export { builtInLabels } from './i18n.js';
+export { resetMfa } from './reset.js';
+const DEFAULT_MAX_ATTEMPTS = 5;
+const DEFAULT_LOCK_DURATION = 15 * 60 * 1_000;
+/**
+ * Double authentification TOTP pour le panneau d'administration Payload.
+ *
+ * Ajoute à chaque collection visée un groupe de champs chiffrés, cinq endpoints `/mfa/*`, un hook
+ * `beforeLogin` qui exige le second facteur et le panneau d'enrôlement dans la vue du compte. Par
+ * défaut, la vue `/admin/login` est remplacée par un formulaire en deux temps — le formulaire natif
+ * de Payload ne sait pas envoyer de champ supplémentaire.
+ *
+ * Après installation : `pnpm payload generate:types`, `pnpm payload generate:importmap`, puis une
+ * migration (le plugin ajoute des colonnes).
+ */
+export const mfaPlugin = (options = {}) => (incoming) => {
+    const config = { ...incoming };
+    const adminUserSlug = config.admin?.user;
+    const collections = options.collections ?? (adminUserSlug ? [adminUserSlug] : []);
+    if (collections.length === 0) {
+        throw new Error('payload-plugin-mfa : aucune collection à protéger. Renseignez `admin.user` dans la ' +
+            'configuration Payload, ou passez explicitement l’option `collections`.');
+    }
+    // Convention Payload : `enabled: false` neutralise le comportement mais laisse les champs en
+    // place, pour qu'une base déjà migrée ne perde pas ses colonnes au prochain déploiement.
+    const active = options.enabled !== false;
+    const contextFor = (collection) => ({
+        backupCodeCount: options.backupCodeCount ?? 10,
+        collection,
+        fieldName: options.fieldName ?? 'mfa',
+        issuer: options.issuer ?? config.admin?.meta?.titleSuffix ?? 'Payload',
+        labels: options.labels,
+        language: options.language,
+        lockDuration: options.lockDuration ?? DEFAULT_LOCK_DURATION,
+        maxAttempts: options.maxAttempts ?? DEFAULT_MAX_ATTEMPTS,
+    });
+    config.collections = (config.collections ?? []).map((collection) => {
+        if (!collections.includes(collection.slug))
+            return collection;
+        const ctx = contextFor(collection.slug);
+        if (!collection.auth) {
+            throw new Error(`payload-plugin-mfa : la collection "${collection.slug}" n’a pas d’option \`auth\`. ` +
+                'Le second facteur se greffe sur la connexion par mot de passe de Payload.');
+        }
+        return {
+            ...collection,
+            endpoints: [...(collection.endpoints || []), ...(active ? createMfaEndpoints(ctx) : [])],
+            fields: [...collection.fields, ...createMfaFields(ctx, options)],
+            hooks: {
+                ...collection.hooks,
+                afterError: [
+                    ...(collection.hooks?.afterError || []),
+                    ...(active ? [createMfaAfterErrorHook(ctx)] : []),
+                ],
+                beforeLogin: [
+                    ...(collection.hooks?.beforeLogin || []),
+                    ...(active ? [createMfaBeforeLoginHook(ctx)] : []),
+                ],
+            },
+        };
+    });
+    if (!active || options.overrideLoginView === false)
+        return config;
+    config.admin = {
+        ...config.admin,
+        components: {
+            ...config.admin?.components,
+            views: {
+                ...config.admin?.components?.views,
+                login: {
+                    Component: {
+                        clientProps: { labels: options.labels, language: options.language },
+                        exportName: 'MfaLoginView',
+                        path: 'payload-plugin-mfa/rsc',
+                    },
+                },
+            },
+        },
+    };
+    return config;
+};
+//# sourceMappingURL=index.js.map

package/dist/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../src/index.ts"],"names":[],"mappings":"AAEA,OAAO,EAAE,eAAe,EAAE,MAAM,aAAa,CAAC;AAC9C,OAAO,EAAE,uBAAuB,EAAE,wBAAwB,EAAE,MAAM,YAAY,CAAC;AAC/E,OAAO,EAAE,kBAAkB,EAAE,MAAM,gBAAgB,CAAC;AAGpD,OAAO,EAAE,eAAe,EAAqB,MAAM,aAAa,CAAC;AACjE,OAAO,EAAE,aAAa,EAA0C,MAAM,WAAW,CAAC;AAClF,OAAO,EAAE,QAAQ,EAAqB,MAAM,YAAY,CAAC;AAGzD,MAAM,oBAAoB,GAAG,CAAC,CAAC;AAC/B,MAAM,qBAAqB,GAAG,EAAE,GAAG,EAAE,GAAG,KAAK,CAAC;AAE9C;;;;;;;;;;GAUG;AACH,MAAM,CAAC,MAAM,SAAS,GACpB,CAAC,UAA4B,EAAE,EAAU,EAAE,CAC3C,CAAC,QAAgB,EAAU,EAAE;IAC3B,MAAM,MAAM,GAAW,EAAE,GAAG,QAAQ,EAAE,CAAC;IAEvC,MAAM,aAAa,GAAG,MAAM,CAAC,KAAK,EAAE,IAAI,CAAC;IACzC,MAAM,WAAW,GAAG,OAAO,CAAC,WAAW,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;IAElF,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC7B,MAAM,IAAI,KAAK,CACb,qFAAqF;YACnF,wEAAwE,CAC3E,CAAC;IACJ,CAAC;IAED,6FAA6F;IAC7F,yFAAyF;IACzF,MAAM,MAAM,GAAG,OAAO,CAAC,OAAO,KAAK,KAAK,CAAC;IAEzC,MAAM,UAAU,GAAG,CAAC,UAAkB,EAAc,EAAE,CAAC,CAAC;QACtD,eAAe,EAAE,OAAO,CAAC,eAAe,IAAI,EAAE;QAC9C,UAAU;QACV,SAAS,EAAE,OAAO,CAAC,SAAS,IAAI,KAAK;QACrC,MAAM,EAAE,OAAO,CAAC,MAAM,IAAI,MAAM,CAAC,KAAK,EAAE,IAAI,EAAE,WAAW,IAAI,SAAS;QACtE,MAAM,EAAE,OAAO,CAAC,MAAM;QACtB,QAAQ,EAAE,OAAO,CAAC,QAAQ;QAC1B,YAAY,EAAE,OAAO,CAAC,YAAY,IAAI,qBAAqB;QAC3D,WAAW,EAAE,OAAO,CAAC,WAAW,IAAI,oBAAoB;KACzD,CAAC,CAAC;IAEH,MAAM,CAAC,WAAW,GAAG,CAAC,MAAM,CAAC,WAAW,IAAI,EAAE,CAAC,CAAC,GAAG,CAAC,CAAC,UAAU,EAAE,EAAE;QACjE,IAAI,CAAC,WAAW,CAAC,QAAQ,CAAC,UAAU,CAAC,IAAI,CAAC;YAAE,OAAO,UAAU,CAAC;QAE9D,MAAM,GAAG,GAAG,UAAU,CAAC,UAAU,CAAC,IAAI,CAAC,CAAC;QAExC,IAAI,CAAC,UAAU,CAAC,IAAI,EAAE,CAAC;YACrB,MAAM,IAAI,KAAK,CACb,uCAAuC,UAAU,CAAC,IAAI,+BAA+B;gBACnF,2EAA2E,CAC9E,CAAC;QACJ,CAAC;QAED,OAAO;YACL,GAAG,UAAU;YACb,SAAS,EAAE,CAAC,GAAG,CAAC,UAAU,CAAC,SAAS,IAAI,EAAE,CAAC,EAAE,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,kBAAkB,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC,CAAC;YACxF,MAAM,EAAE,CAAC,GAAG,UAAU,CAAC,MAAM,EAAE,GAAG,eAAe,CAAC,GAAG,EAAE,OAAO,CAAC,CAAC;YAChE,KAAK,EAAE;gBACL,GAAG,UAAU,CAAC,KAAK;gBACnB,UAAU,EAAE;oBACV,GAAG,CAAC,UAAU,CAAC,KAAK,EAAE,UAAU,IAAI,EAAE,CAAC;oBACvC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,uBAAuB,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;iBAClD;gBACD,WAAW,EAAE;oBACX,GAAG,CAAC,UAAU,CAAC,KAAK,EAAE,WAAW,IAAI,EAAE,CAAC;oBACxC,GAAG,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,wBAAwB,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;iBACnD;aACF;SACF,CAAC;IACJ,CAAC,CAAC,CAAC;IAEH,IAAI,CAAC,MAAM,IAAI,OAAO,CAAC,iBAAiB,KAAK,KAAK;QAAE,OAAO,MAAM,CAAC;IAElE,MAAM,CAAC,KAAK,GAAG;QACb,GAAG,MAAM,CAAC,KAAK;QACf,UAAU,EAAE;YACV,GAAG,MAAM,CAAC,KAAK,EAAE,UAAU;YAC3B,KAAK,EAAE;gBACL,GAAG,MAAM,CAAC,KAAK,EAAE,UAAU,EAAE,KAAK;gBAClC,KAAK,EAAE;oBACL,SAAS,EAAE;wBACT,WAAW,EAAE,EAAE,MAAM,EAAE,OAAO,CAAC,MAAM,EAAE,QAAQ,EAAE,OAAO,CAAC,QAAQ,EAAE;wBACnE,UAAU,EAAE,cAAc;wBAC1B,IAAI,EAAE,wBAAwB;qBAC/B;iBACF;aACF;SACF;KACF,CAAC;IAEF,OAAO,MAAM,CAAC;AAChB,CAAC,CAAC"}

package/dist/reset.d.ts

@@ -0,0 +1,23 @@
+import type { Payload } from 'payload';
+export type ResetMfaArgs = {
+    /** Collection d'authentification. Par défaut, la collection admin du projet. */
+    collection?: string;
+    /** Email du compte à réinitialiser. Fournir `email` ou `id`. */
+    email?: string;
+    /** Nom du groupe de champs, si l'option `fieldName` du plugin a été personnalisée. */
+    fieldName?: string;
+    id?: number | string;
+    payload: Payload;
+};
+/**
+ * Désactive le second facteur d'un compte, depuis du code serveur privilégié.
+ *
+ * Filet de sécurité pour le seul scénario sans issue par l'interface : téléphone perdu *et* codes
+ * de secours perdus. Les endpoints `/mfa/*` n'agissent que sur l'utilisateur connecté — personne,
+ * pas même un autre administrateur, ne peut désactiver la MFA d'un tiers via l'API. À n'appeler
+ * que depuis un script d'administration, jamais depuis une route exposée.
+ */
+export declare function resetMfa({ collection, email, fieldName, id, payload, }: ResetMfaArgs): Promise<{
+    id: number | string;
+}>;
+//# sourceMappingURL=reset.d.ts.map

package/dist/reset.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"reset.d.ts","sourceRoot":"","sources":["../src/reset.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,MAAM,SAAS,CAAC;AAKvC,MAAM,MAAM,YAAY,GAAG;IACzB,gFAAgF;IAChF,UAAU,CAAC,EAAE,MAAM,CAAC;IACpB,gEAAgE;IAChE,KAAK,CAAC,EAAE,MAAM,CAAC;IACf,sFAAsF;IACtF,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,EAAE,CAAC,EAAE,MAAM,GAAG,MAAM,CAAC;IACrB,OAAO,EAAE,OAAO,CAAC;CAClB,CAAC;AAEF;;;;;;;GAOG;AACH,wBAAsB,QAAQ,CAAC,EAC7B,UAAU,EACV,KAAK,EACL,SAAiB,EACjB,EAAE,EACF,OAAO,GACR,EAAE,YAAY,GAAG,OAAO,CAAC;IAAE,EAAE,EAAE,MAAM,GAAG,MAAM,CAAA;CAAE,CAAC,CAuBjD"}

package/dist/reset.js

@@ -0,0 +1,32 @@
+import { EMPTY_MFA_STATE, writeMfaState } from './state.js';
+/**
+ * Désactive le second facteur d'un compte, depuis du code serveur privilégié.
+ *
+ * Filet de sécurité pour le seul scénario sans issue par l'interface : téléphone perdu *et* codes
+ * de secours perdus. Les endpoints `/mfa/*` n'agissent que sur l'utilisateur connecté — personne,
+ * pas même un autre administrateur, ne peut désactiver la MFA d'un tiers via l'API. À n'appeler
+ * que depuis un script d'administration, jamais depuis une route exposée.
+ */
+export async function resetMfa({ collection, email, fieldName = 'mfa', id, payload, }) {
+    const slug = collection ?? payload.config.admin.user;
+    let userId = id;
+    if (userId === undefined) {
+        if (!email)
+            throw new Error('resetMfa: il faut fournir `email` ou `id`.');
+        const { docs } = await payload.find({
+            collection: slug,
+            limit: 1,
+            overrideAccess: true,
+            where: { email: { equals: email } },
+        });
+        if (!docs[0])
+            throw new Error(`resetMfa: aucun utilisateur avec l'email ${email}.`);
+        userId = docs[0].id;
+    }
+    // Seuls `collection` et `fieldName` sont lus par `writeMfaState` pour une remise à zéro : les
+    // bornes de verrouillage ne servent qu'au comptage des échecs.
+    const ctx = { collection: slug, fieldName };
+    await writeMfaState(payload, ctx, userId, EMPTY_MFA_STATE);
+    return { id: userId };
+}
+//# sourceMappingURL=reset.js.map

package/dist/reset.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"reset.js","sourceRoot":"","sources":["../src/reset.ts"],"names":[],"mappings":"AAEA,OAAO,EAAE,eAAe,EAAE,aAAa,EAAE,MAAM,YAAY,CAAC;AAc5D;;;;;;;GAOG;AACH,MAAM,CAAC,KAAK,UAAU,QAAQ,CAAC,EAC7B,UAAU,EACV,KAAK,EACL,SAAS,GAAG,KAAK,EACjB,EAAE,EACF,OAAO,GACM;IACb,MAAM,IAAI,GAAG,UAAU,IAAI,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,IAAI,CAAC;IAErD,IAAI,MAAM,GAAG,EAAE,CAAC;IAEhB,IAAI,MAAM,KAAK,SAAS,EAAE,CAAC;QACzB,IAAI,CAAC,KAAK;YAAE,MAAM,IAAI,KAAK,CAAC,4CAA4C,CAAC,CAAC;QAC1E,MAAM,EAAE,IAAI,EAAE,GAAG,MAAM,OAAO,CAAC,IAAI,CAAC;YAClC,UAAU,EAAE,IAAI;YAChB,KAAK,EAAE,CAAC;YACR,cAAc,EAAE,IAAI;YACpB,KAAK,EAAE,EAAE,KAAK,EAAE,EAAE,MAAM,EAAE,KAAK,EAAE,EAAE;SACpC,CAAC,CAAC;QACH,IAAI,CAAC,IAAI,CAAC,CAAC,CAAC;YAAE,MAAM,IAAI,KAAK,CAAC,4CAA4C,KAAK,GAAG,CAAC,CAAC;QACpF,MAAM,GAAG,IAAI,CAAC,CAAC,CAAC,CAAC,EAAqB,CAAC;IACzC,CAAC;IAED,8FAA8F;IAC9F,+DAA+D;IAC/D,MAAM,GAAG,GAAG,EAAE,UAAU,EAAE,IAAI,EAAE,SAAS,EAAgB,CAAC;IAC1D,MAAM,aAAa,CAAC,OAAO,EAAE,GAAG,EAAE,MAAM,EAAE,eAAe,CAAC,CAAC;IAE3D,OAAO,EAAE,EAAE,EAAE,MAAM,EAAE,CAAC;AACxB,CAAC"}

package/dist/state.d.ts

@@ -0,0 +1,39 @@
+import type { Payload, PayloadRequest } from 'payload';
+import type { StoredBackupCode } from './backup-codes.js';
+import type { MfaContext } from './types.js';
+/**
+ * État MFA d'un utilisateur, secrets déjà déchiffrés.
+ *
+ * Ne jamais renvoyer cet objet tel quel dans une réponse HTTP : `secret` et `pendingSecret`
+ * suffisent à générer des codes valides.
+ */
+export type MfaState = {
+    backupCodes: StoredBackupCode[];
+    confirmedAt: null | string;
+    enabled: boolean;
+    failedAttempts: number;
+    lastCounter: null | number;
+    lockedUntil: null | string;
+    pendingSecret: null | string;
+    secret: null | string;
+};
+export declare function readMfaState(payload: Payload, ctx: MfaContext, userId: number | string, req?: PayloadRequest): Promise<MfaState>;
+/**
+ * Réécrit le groupe MFA en entier.
+ *
+ * `req` doit être fourni dès qu'on écrit depuis un hook de `loginOperation` : celle-ci ouvre une
+ * transaction et pose un verrou sur la ligne utilisateur (`resetLoginAttempts`). Écrire cette même
+ * ligne depuis une transaction distincte attendrait un verrou que seule la fin de la connexion
+ * libère — laquelle attend justement cette écriture : la requête reste bloquée indéfiniment.
+ *
+ * Le corollaire est qu'une écriture faite avec `req` est annulée si l'opération échoue. C'est pour
+ * cette raison que le compteur d'échecs est écrit depuis le hook `afterError`, une fois la
+ * transaction déjà annulée.
+ */
+export declare function writeMfaState(payload: Payload, ctx: MfaContext, userId: number | string, patch: Partial<MfaState>, req?: PayloadRequest): Promise<MfaState>;
+export declare function isMfaLocked(state: MfaState): boolean;
+/** Incrémente le compteur d'échecs et pose le verrou une fois `maxAttempts` atteint. */
+export declare function registerMfaFailure(payload: Payload, ctx: MfaContext, userId: number | string, state: MfaState): Promise<MfaState>;
+/** Remet l'utilisateur à zéro : plus de secret, plus de codes, plus de verrou. */
+export declare const EMPTY_MFA_STATE: MfaState;
+//# sourceMappingURL=state.d.ts.map

package/dist/state.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"state.d.ts","sourceRoot":"","sources":["../src/state.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,OAAO,EAAE,cAAc,EAAE,MAAM,SAAS,CAAC;AAEvD,OAAO,KAAK,EAAE,gBAAgB,EAAE,MAAM,mBAAmB,CAAC;AAC1D,OAAO,KAAK,EAAE,UAAU,EAAE,MAAM,YAAY,CAAC;AAE7C;;;;;GAKG;AACH,MAAM,MAAM,QAAQ,GAAG;IACrB,WAAW,EAAE,gBAAgB,EAAE,CAAC;IAChC,WAAW,EAAE,IAAI,GAAG,MAAM,CAAC;IAC3B,OAAO,EAAE,OAAO,CAAC;IACjB,cAAc,EAAE,MAAM,CAAC;IACvB,WAAW,EAAE,IAAI,GAAG,MAAM,CAAC;IAC3B,WAAW,EAAE,IAAI,GAAG,MAAM,CAAC;IAC3B,aAAa,EAAE,IAAI,GAAG,MAAM,CAAC;IAC7B,MAAM,EAAE,IAAI,GAAG,MAAM,CAAC;CACvB,CAAC;AAqCF,wBAAsB,YAAY,CAChC,OAAO,EAAE,OAAO,EAChB,GAAG,EAAE,UAAU,EACf,MAAM,EAAE,MAAM,GAAG,MAAM,EACvB,GAAG,CAAC,EAAE,cAAc,GACnB,OAAO,CAAC,QAAQ,CAAC,CAwBnB;AAED;;;;;;;;;;;GAWG;AACH,wBAAsB,aAAa,CACjC,OAAO,EAAE,OAAO,EAChB,GAAG,EAAE,UAAU,EACf,MAAM,EAAE,MAAM,GAAG,MAAM,EACvB,KAAK,EAAE,OAAO,CAAC,QAAQ,CAAC,EACxB,GAAG,CAAC,EAAE,cAAc,GACnB,OAAO,CAAC,QAAQ,CAAC,CAyBnB;AAED,wBAAgB,WAAW,CAAC,KAAK,EAAE,QAAQ,GAAG,OAAO,CAEpD;AAED,wFAAwF;AACxF,wBAAsB,kBAAkB,CACtC,OAAO,EAAE,OAAO,EAChB,GAAG,EAAE,UAAU,EACf,MAAM,EAAE,MAAM,GAAG,MAAM,EACvB,KAAK,EAAE,QAAQ,GACd,OAAO,CAAC,QAAQ,CAAC,CAQnB;AAED,kFAAkF;AAClF,eAAO,MAAM,eAAe,EAAE,QAS7B,CAAC"}

package/dist/state.js

@@ -0,0 +1,104 @@
+function decryptOrNull(payload, value) {
+    if (!value)
+        return null;
+    try {
+        return payload.decrypt(value);
+    }
+    catch {
+        // Un secret indéchiffrable (PAYLOAD_SECRET tourné, ligne corrompue) ne doit pas faire échouer
+        // la lecture : on le traite comme absent, ce qui désactive de fait le second facteur.
+        payload.logger.error('MFA : impossible de déchiffrer un secret, il sera ignoré.');
+        return null;
+    }
+}
+function parseBackupCodes(value) {
+    if (!Array.isArray(value))
+        return [];
+    return value.filter((entry) => typeof entry === 'object' &&
+        entry !== null &&
+        typeof entry.hash === 'string' &&
+        typeof entry.salt === 'string');
+}
+export async function readMfaState(payload, ctx, userId, req) {
+    const user = await payload.findByID({
+        id: userId,
+        collection: ctx.collection,
+        depth: 0,
+        // Les champs MFA sont `hidden` et interdits en lecture par l'access control : seule une lecture
+        // privilégiée peut les voir.
+        overrideAccess: true,
+        req,
+        showHiddenFields: true,
+    });
+    const raw = (user[ctx.fieldName] ?? {});
+    return {
+        backupCodes: parseBackupCodes(raw.backupCodes),
+        confirmedAt: raw.confirmedAt ?? null,
+        enabled: raw.enabled === true,
+        failedAttempts: raw.failedAttempts ?? 0,
+        lastCounter: raw.lastCounter ?? null,
+        lockedUntil: raw.lockedUntil ?? null,
+        pendingSecret: decryptOrNull(payload, raw.pendingSecret),
+        secret: decryptOrNull(payload, raw.secret),
+    };
+}
+/**
+ * Réécrit le groupe MFA en entier.
+ *
+ * `req` doit être fourni dès qu'on écrit depuis un hook de `loginOperation` : celle-ci ouvre une
+ * transaction et pose un verrou sur la ligne utilisateur (`resetLoginAttempts`). Écrire cette même
+ * ligne depuis une transaction distincte attendrait un verrou que seule la fin de la connexion
+ * libère — laquelle attend justement cette écriture : la requête reste bloquée indéfiniment.
+ *
+ * Le corollaire est qu'une écriture faite avec `req` est annulée si l'opération échoue. C'est pour
+ * cette raison que le compteur d'échecs est écrit depuis le hook `afterError`, une fois la
+ * transaction déjà annulée.
+ */
+export async function writeMfaState(payload, ctx, userId, patch, req) {
+    const current = await readMfaState(payload, ctx, userId, req);
+    const next = { ...current, ...patch };
+    await payload.update({
+        id: userId,
+        collection: ctx.collection,
+        data: {
+            [ctx.fieldName]: {
+                backupCodes: next.backupCodes,
+                confirmedAt: next.confirmedAt,
+                enabled: next.enabled,
+                failedAttempts: next.failedAttempts,
+                lastCounter: next.lastCounter,
+                lockedUntil: next.lockedUntil,
+                pendingSecret: next.pendingSecret ? payload.encrypt(next.pendingSecret) : null,
+                secret: next.secret ? payload.encrypt(next.secret) : null,
+            },
+        },
+        depth: 0,
+        overrideAccess: true,
+        req,
+    });
+    return next;
+}
+export function isMfaLocked(state) {
+    return state.lockedUntil !== null && new Date(state.lockedUntil).getTime() > Date.now();
+}
+/** Incrémente le compteur d'échecs et pose le verrou une fois `maxAttempts` atteint. */
+export async function registerMfaFailure(payload, ctx, userId, state) {
+    const failedAttempts = state.failedAttempts + 1;
+    const locked = failedAttempts >= ctx.maxAttempts;
+    return writeMfaState(payload, ctx, userId, {
+        failedAttempts: locked ? 0 : failedAttempts,
+        lockedUntil: locked ? new Date(Date.now() + ctx.lockDuration).toISOString() : state.lockedUntil,
+    });
+}
+/** Remet l'utilisateur à zéro : plus de secret, plus de codes, plus de verrou. */
+export const EMPTY_MFA_STATE = {
+    backupCodes: [],
+    confirmedAt: null,
+    enabled: false,
+    failedAttempts: 0,
+    lastCounter: null,
+    lockedUntil: null,
+    pendingSecret: null,
+    secret: null,
+};
+//# sourceMappingURL=state.js.map

package/dist/state.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"state.js","sourceRoot":"","sources":["../src/state.ts"],"names":[],"mappings":"AAkCA,SAAS,aAAa,CAAC,OAAgB,EAAE,KAAgC;IACvE,IAAI,CAAC,KAAK;QAAE,OAAO,IAAI,CAAC;IACxB,IAAI,CAAC;QACH,OAAO,OAAO,CAAC,OAAO,CAAC,KAAK,CAAC,CAAC;IAChC,CAAC;IAAC,MAAM,CAAC;QACP,8FAA8F;QAC9F,sFAAsF;QACtF,OAAO,CAAC,MAAM,CAAC,KAAK,CAAC,2DAA2D,CAAC,CAAC;QAClF,OAAO,IAAI,CAAC;IACd,CAAC;AACH,CAAC;AAED,SAAS,gBAAgB,CAAC,KAAc;IACtC,IAAI,CAAC,KAAK,CAAC,OAAO,CAAC,KAAK,CAAC;QAAE,OAAO,EAAE,CAAC;IACrC,OAAO,KAAK,CAAC,MAAM,CACjB,CAAC,KAAK,EAA6B,EAAE,CACnC,OAAO,KAAK,KAAK,QAAQ;QACzB,KAAK,KAAK,IAAI;QACd,OAAQ,KAA0B,CAAC,IAAI,KAAK,QAAQ;QACpD,OAAQ,KAA0B,CAAC,IAAI,KAAK,QAAQ,CACvD,CAAC;AACJ,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,YAAY,CAChC,OAAgB,EAChB,GAAe,EACf,MAAuB,EACvB,GAAoB;IAEpB,MAAM,IAAI,GAAG,MAAM,OAAO,CAAC,QAAQ,CAAC;QAClC,EAAE,EAAE,MAAM;QACV,UAAU,EAAE,GAAG,CAAC,UAAU;QAC1B,KAAK,EAAE,CAAC;QACR,gGAAgG;QAChG,6BAA6B;QAC7B,cAAc,EAAE,IAAI;QACpB,GAAG;QACH,gBAAgB,EAAE,IAAI;KACvB,CAAC,CAAC;IAEH,MAAM,GAAG,GAAG,CAAE,IAAgC,CAAC,GAAG,CAAC,SAAS,CAAC,IAAI,EAAE,CAAW,CAAC;IAE/E,OAAO;QACL,WAAW,EAAE,gBAAgB,CAAC,GAAG,CAAC,WAAW,CAAC;QAC9C,WAAW,EAAE,GAAG,CAAC,WAAW,IAAI,IAAI;QACpC,OAAO,EAAE,GAAG,CAAC,OAAO,KAAK,IAAI;QAC7B,cAAc,EAAE,GAAG,CAAC,cAAc,IAAI,CAAC;QACvC,WAAW,EAAE,GAAG,CAAC,WAAW,IAAI,IAAI;QACpC,WAAW,EAAE,GAAG,CAAC,WAAW,IAAI,IAAI;QACpC,aAAa,EAAE,aAAa,CAAC,OAAO,EAAE,GAAG,CAAC,aAAa,CAAC;QACxD,MAAM,EAAE,aAAa,CAAC,OAAO,EAAE,GAAG,CAAC,MAAM,CAAC;KAC3C,CAAC;AACJ,CAAC;AAED;;;;;;;;;;;GAWG;AACH,MAAM,CAAC,KAAK,UAAU,aAAa,CACjC,OAAgB,EAChB,GAAe,EACf,MAAuB,EACvB,KAAwB,EACxB,GAAoB;IAEpB,MAAM,OAAO,GAAG,MAAM,YAAY,CAAC,OAAO,EAAE,GAAG,EAAE,MAAM,EAAE,GAAG,CAAC,CAAC;IAC9D,MAAM,IAAI,GAAa,EAAE,GAAG,OAAO,EAAE,GAAG,KAAK,EAAE,CAAC;IAEhD,MAAM,OAAO,CAAC,MAAM,CAAC;QACnB,EAAE,EAAE,MAAM;QACV,UAAU,EAAE,GAAG,CAAC,UAAU;QAC1B,IAAI,EAAE;YACJ,CAAC,GAAG,CAAC,SAAS,CAAC,EAAE;gBACf,WAAW,EAAE,IAAI,CAAC,WAAW;gBAC7B,WAAW,EAAE,IAAI,CAAC,WAAW;gBAC7B,OAAO,EAAE,IAAI,CAAC,OAAO;gBACrB,cAAc,EAAE,IAAI,CAAC,cAAc;gBACnC,WAAW,EAAE,IAAI,CAAC,WAAW;gBAC7B,WAAW,EAAE,IAAI,CAAC,WAAW;gBAC7B,aAAa,EAAE,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC,IAAI,CAAC,aAAa,CAAC,CAAC,CAAC,CAAC,IAAI;gBAC9E,MAAM,EAAE,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,OAAO,CAAC,OAAO,CAAC,IAAI,CAAC,MAAM,CAAC,CAAC,CAAC,CAAC,IAAI;aAC1D;SACF;QACD,KAAK,EAAE,CAAC;QACR,cAAc,EAAE,IAAI;QACpB,GAAG;KACJ,CAAC,CAAC;IAEH,OAAO,IAAI,CAAC;AACd,CAAC;AAED,MAAM,UAAU,WAAW,CAAC,KAAe;IACzC,OAAO,KAAK,CAAC,WAAW,KAAK,IAAI,IAAI,IAAI,IAAI,CAAC,KAAK,CAAC,WAAW,CAAC,CAAC,OAAO,EAAE,GAAG,IAAI,CAAC,GAAG,EAAE,CAAC;AAC1F,CAAC;AAED,wFAAwF;AACxF,MAAM,CAAC,KAAK,UAAU,kBAAkB,CACtC,OAAgB,EAChB,GAAe,EACf,MAAuB,EACvB,KAAe;IAEf,MAAM,cAAc,GAAG,KAAK,CAAC,cAAc,GAAG,CAAC,CAAC;IAChD,MAAM,MAAM,GAAG,cAAc,IAAI,GAAG,CAAC,WAAW,CAAC;IAEjD,OAAO,aAAa,CAAC,OAAO,EAAE,GAAG,EAAE,MAAM,EAAE;QACzC,cAAc,EAAE,MAAM,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,cAAc;QAC3C,WAAW,EAAE,MAAM,CAAC,CAAC,CAAC,IAAI,IAAI,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,GAAG,CAAC,YAAY,CAAC,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC,KAAK,CAAC,WAAW;KAChG,CAAC,CAAC;AACL,CAAC;AAED,kFAAkF;AAClF,MAAM,CAAC,MAAM,eAAe,GAAa;IACvC,WAAW,EAAE,EAAE;IACf,WAAW,EAAE,IAAI;IACjB,OAAO,EAAE,KAAK;IACd,cAAc,EAAE,CAAC;IACjB,WAAW,EAAE,IAAI;IACjB,WAAW,EAAE,IAAI;IACjB,aAAa,EAAE,IAAI;IACnB,MAAM,EAAE,IAAI;CACb,CAAC"}

package/dist/totp.d.ts

@@ -0,0 +1,38 @@
+export declare const TOTP_DIGITS = 6;
+export declare const TOTP_PERIOD_SECONDS = 30;
+/**
+ * Nombre de pas de 30 s tolérés de part et d'autre du pas courant, pour absorber la dérive
+ * d'horloge entre le téléphone et le serveur. 1 = ±30 s, la valeur recommandée par la RFC 6238.
+ */
+export declare const TOTP_WINDOW = 1;
+type TotpIdentity = {
+    /** Ce qui s'affiche sous le nom de l'émetteur dans l'app d'authentification. */
+    accountLabel: string;
+    /** Nom du site, affiché comme entête de l'entrée dans l'app d'authentification. */
+    issuer: string;
+};
+/** Génère un secret partagé de 160 bits, encodé en base32 (le format attendu par les apps TOTP). */
+export declare function generateTotpSecret(): string;
+/** URI `otpauth://` à encoder dans le QR code présenté à l'utilisateur lors de l'enrôlement. */
+export declare function buildOtpAuthUri(secret: string, identity: TotpIdentity): string;
+export type TotpVerification = {
+    counter: number;
+    valid: true;
+} | {
+    reason: 'invalid' | 'replayed';
+    valid: false;
+};
+/**
+ * Vérifie un code à 6 chiffres.
+ *
+ * `lastCounter` est le pas de temps du dernier code accepté pour ce compte : le rejouer est refusé,
+ * sans quoi un code intercepté resterait utilisable pendant toute sa fenêtre de validité (jusqu'à
+ * 90 s avec `TOTP_WINDOW = 1`).
+ */
+export declare function verifyTotp({ lastCounter, secret, token, }: {
+    lastCounter?: null | number;
+    secret: string;
+    token: string;
+}): TotpVerification;
+export {};
+//# sourceMappingURL=totp.d.ts.map

package/dist/totp.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"totp.d.ts","sourceRoot":"","sources":["../src/totp.ts"],"names":[],"mappings":"AAEA,eAAO,MAAM,WAAW,IAAI,CAAC;AAC7B,eAAO,MAAM,mBAAmB,KAAK,CAAC;AAEtC;;;GAGG;AACH,eAAO,MAAM,WAAW,IAAI,CAAC;AAE7B,KAAK,YAAY,GAAG;IAClB,gFAAgF;IAChF,YAAY,EAAE,MAAM,CAAC;IACrB,mFAAmF;IACnF,MAAM,EAAE,MAAM,CAAC;CAChB,CAAC;AAaF,oGAAoG;AACpG,wBAAgB,kBAAkB,IAAI,MAAM,CAE3C;AAED,gGAAgG;AAChG,wBAAgB,eAAe,CAAC,MAAM,EAAE,MAAM,EAAE,QAAQ,EAAE,YAAY,GAAG,MAAM,CAE9E;AAED,MAAM,MAAM,gBAAgB,GAC1B;IAAE,OAAO,EAAE,MAAM,CAAC;IAAC,KAAK,EAAE,IAAI,CAAA;CAAE,GAAG;IAAE,MAAM,EAAE,SAAS,GAAG,UAAU,CAAC;IAAC,KAAK,EAAE,KAAK,CAAA;CAAE,CAAC;AAEtF;;;;;;GAMG;AACH,wBAAgB,UAAU,CAAC,EACzB,WAAW,EACX,MAAM,EACN,KAAK,GACN,EAAE;IACD,WAAW,CAAC,EAAE,IAAI,GAAG,MAAM,CAAC;IAC5B,MAAM,EAAE,MAAM,CAAC;IACf,KAAK,EAAE,MAAM,CAAC;CACf,GAAG,gBAAgB,CAenB"}