@arthur.eudeline/payload-plugin-mfa 0.1.1

package/dist/totp.js

@@ -0,0 +1,49 @@
+import { Secret, TOTP } from 'otpauth';
+export const TOTP_DIGITS = 6;
+export const TOTP_PERIOD_SECONDS = 30;
+/**
+ * Nombre de pas de 30 s tolérés de part et d'autre du pas courant, pour absorber la dérive
+ * d'horloge entre le téléphone et le serveur. 1 = ±30 s, la valeur recommandée par la RFC 6238.
+ */
+export const TOTP_WINDOW = 1;
+function buildTotp(secret, identity) {
+    return new TOTP({
+        algorithm: 'SHA1',
+        digits: TOTP_DIGITS,
+        issuer: identity.issuer,
+        label: identity.accountLabel,
+        period: TOTP_PERIOD_SECONDS,
+        secret: Secret.fromBase32(secret),
+    });
+}
+/** Génère un secret partagé de 160 bits, encodé en base32 (le format attendu par les apps TOTP). */
+export function generateTotpSecret() {
+    return new Secret({ size: 20 }).base32;
+}
+/** URI `otpauth://` à encoder dans le QR code présenté à l'utilisateur lors de l'enrôlement. */
+export function buildOtpAuthUri(secret, identity) {
+    return buildTotp(secret, identity).toString();
+}
+/**
+ * Vérifie un code à 6 chiffres.
+ *
+ * `lastCounter` est le pas de temps du dernier code accepté pour ce compte : le rejouer est refusé,
+ * sans quoi un code intercepté resterait utilisable pendant toute sa fenêtre de validité (jusqu'à
+ * 90 s avec `TOTP_WINDOW = 1`).
+ */
+export function verifyTotp({ lastCounter, secret, token, }) {
+    const normalized = token.replace(/\D/g, '');
+    if (normalized.length !== TOTP_DIGITS)
+        return { reason: 'invalid', valid: false };
+    // Ni l'émetteur ni le libellé n'entrent dans le calcul du code : des valeurs de façade suffisent.
+    const totp = buildTotp(secret, { accountLabel: 'verify', issuer: 'verify' });
+    const delta = totp.validate({ token: normalized, window: TOTP_WINDOW });
+    if (delta === null)
+        return { reason: 'invalid', valid: false };
+    const counter = Math.floor(Date.now() / 1000 / TOTP_PERIOD_SECONDS) + delta;
+    if (typeof lastCounter === 'number' && counter <= lastCounter) {
+        return { reason: 'replayed', valid: false };
+    }
+    return { counter, valid: true };
+}
+//# sourceMappingURL=totp.js.map

package/dist/totp.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"totp.js","sourceRoot":"","sources":["../src/totp.ts"],"names":[],"mappings":"AAAA,OAAO,EAAE,MAAM,EAAE,IAAI,EAAE,MAAM,SAAS,CAAC;AAEvC,MAAM,CAAC,MAAM,WAAW,GAAG,CAAC,CAAC;AAC7B,MAAM,CAAC,MAAM,mBAAmB,GAAG,EAAE,CAAC;AAEtC;;;GAGG;AACH,MAAM,CAAC,MAAM,WAAW,GAAG,CAAC,CAAC;AAS7B,SAAS,SAAS,CAAC,MAAc,EAAE,QAAsB;IACvD,OAAO,IAAI,IAAI,CAAC;QACd,SAAS,EAAE,MAAM;QACjB,MAAM,EAAE,WAAW;QACnB,MAAM,EAAE,QAAQ,CAAC,MAAM;QACvB,KAAK,EAAE,QAAQ,CAAC,YAAY;QAC5B,MAAM,EAAE,mBAAmB;QAC3B,MAAM,EAAE,MAAM,CAAC,UAAU,CAAC,MAAM,CAAC;KAClC,CAAC,CAAC;AACL,CAAC;AAED,oGAAoG;AACpG,MAAM,UAAU,kBAAkB;IAChC,OAAO,IAAI,MAAM,CAAC,EAAE,IAAI,EAAE,EAAE,EAAE,CAAC,CAAC,MAAM,CAAC;AACzC,CAAC;AAED,gGAAgG;AAChG,MAAM,UAAU,eAAe,CAAC,MAAc,EAAE,QAAsB;IACpE,OAAO,SAAS,CAAC,MAAM,EAAE,QAAQ,CAAC,CAAC,QAAQ,EAAE,CAAC;AAChD,CAAC;AAKD;;;;;;GAMG;AACH,MAAM,UAAU,UAAU,CAAC,EACzB,WAAW,EACX,MAAM,EACN,KAAK,GAKN;IACC,MAAM,UAAU,GAAG,KAAK,CAAC,OAAO,CAAC,KAAK,EAAE,EAAE,CAAC,CAAC;IAC5C,IAAI,UAAU,CAAC,MAAM,KAAK,WAAW;QAAE,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,KAAK,EAAE,KAAK,EAAE,CAAC;IAElF,kGAAkG;IAClG,MAAM,IAAI,GAAG,SAAS,CAAC,MAAM,EAAE,EAAE,YAAY,EAAE,QAAQ,EAAE,MAAM,EAAE,QAAQ,EAAE,CAAC,CAAC;IAC7E,MAAM,KAAK,GAAG,IAAI,CAAC,QAAQ,CAAC,EAAE,KAAK,EAAE,UAAU,EAAE,MAAM,EAAE,WAAW,EAAE,CAAC,CAAC;IACxE,IAAI,KAAK,KAAK,IAAI;QAAE,OAAO,EAAE,MAAM,EAAE,SAAS,EAAE,KAAK,EAAE,KAAK,EAAE,CAAC;IAE/D,MAAM,OAAO,GAAG,IAAI,CAAC,KAAK,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,IAAI,GAAG,mBAAmB,CAAC,GAAG,KAAK,CAAC;IAC5E,IAAI,OAAO,WAAW,KAAK,QAAQ,IAAI,OAAO,IAAI,WAAW,EAAE,CAAC;QAC9D,OAAO,EAAE,MAAM,EAAE,UAAU,EAAE,KAAK,EAAE,KAAK,EAAE,CAAC;IAC9C,CAAC;IAED,OAAO,EAAE,OAAO,EAAE,KAAK,EAAE,IAAI,EAAE,CAAC;AAClC,CAAC"}

package/dist/types.d.ts

@@ -0,0 +1,60 @@
+import type { MfaLabelOverrides } from './i18n.js';
+export type MfaPluginOptions = {
+    /**
+     * Collections d'authentification à protéger. Par défaut, la seule collection admin
+     * (`config.admin.user`).
+     *
+     * La vue de connexion n'est remplacée que pour cette collection admin : c'est la seule qui ait un
+     * formulaire dans le panneau. Les autres collections gardent le hook et les endpoints, à charge
+     * du projet d'envoyer `mfaCode` dans sa propre requête de connexion.
+     */
+    collections?: string[];
+    /**
+     * Nom affiché comme émetteur dans l'application d'authentification, et donc dans la liste des
+     * comptes du téléphone. Par défaut, le `titleSuffix` de l'admin, sinon « Payload ».
+     */
+    issuer?: string;
+    /**
+     * Mettre à `false` désactive entièrement le plugin *sans retirer les champs* : la convention
+     * Payload, pour qu'une base déjà migrée ne perde pas ses colonnes.
+     */
+    enabled?: boolean;
+    /** Nom du groupe de champs ajouté à la collection. Par défaut `mfa`. */
+    fieldName?: string;
+    /** Nombre de codes de secours délivrés à l'activation. Par défaut 10. */
+    backupCodeCount?: number;
+    /** Nombre de codes invalides consécutifs avant verrouillage. Par défaut 5. */
+    maxAttempts?: number;
+    /** Durée du verrouillage, en millisecondes. Par défaut 15 minutes. */
+    lockDuration?: number;
+    /**
+     * Remplace la vue `/admin/login` par le formulaire en deux temps. Par défaut `true`.
+     *
+     * Passer `false` si le projet a déjà sa propre vue de connexion : il lui reste à monter
+     * `MfaLoginForm` (export `payload-plugin-mfa/client`) ou à gérer lui-même le code
+     * `MFA_REQUIRED`.
+     */
+    overrideLoginView?: boolean;
+    /**
+     * Surcharge des libellés, par code de langue de l'admin :
+     * `{ fr: { panelTitle: 'Double authentification' } }`. Anglais et français sont fournis.
+     */
+    labels?: MfaLabelOverrides;
+    /**
+     * Fige la langue des libellés au lieu de suivre celle de l'admin. Utile pour un projet dont
+     * l'interface est rédigée dans une langue mais dont l'admin Payload tourne en anglais.
+     */
+    language?: string;
+};
+/** Options normalisées, telles que les hooks, endpoints et composants les reçoivent. */
+export type MfaContext = {
+    backupCodeCount: number;
+    collection: string;
+    fieldName: string;
+    issuer: string;
+    labels?: MfaLabelOverrides;
+    language?: string;
+    lockDuration: number;
+    maxAttempts: number;
+};
+//# sourceMappingURL=types.d.ts.map

package/dist/types.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.d.ts","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":"AAAA,OAAO,KAAK,EAAE,iBAAiB,EAAE,MAAM,WAAW,CAAC;AAEnD,MAAM,MAAM,gBAAgB,GAAG;IAC7B;;;;;;;OAOG;IACH,WAAW,CAAC,EAAE,MAAM,EAAE,CAAC;IAEvB;;;OAGG;IACH,MAAM,CAAC,EAAE,MAAM,CAAC;IAEhB;;;OAGG;IACH,OAAO,CAAC,EAAE,OAAO,CAAC;IAElB,wEAAwE;IACxE,SAAS,CAAC,EAAE,MAAM,CAAC;IAEnB,yEAAyE;IACzE,eAAe,CAAC,EAAE,MAAM,CAAC;IAEzB,8EAA8E;IAC9E,WAAW,CAAC,EAAE,MAAM,CAAC;IAErB,sEAAsE;IACtE,YAAY,CAAC,EAAE,MAAM,CAAC;IAEtB;;;;;;OAMG;IACH,iBAAiB,CAAC,EAAE,OAAO,CAAC;IAE5B;;;OAGG;IACH,MAAM,CAAC,EAAE,iBAAiB,CAAC;IAE3B;;;OAGG;IACH,QAAQ,CAAC,EAAE,MAAM,CAAC;CACnB,CAAC;AAEF,wFAAwF;AACxF,MAAM,MAAM,UAAU,GAAG;IACvB,eAAe,EAAE,MAAM,CAAC;IACxB,UAAU,EAAE,MAAM,CAAC;IACnB,SAAS,EAAE,MAAM,CAAC;IAClB,MAAM,EAAE,MAAM,CAAC;IACf,MAAM,CAAC,EAAE,iBAAiB,CAAC;IAC3B,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,YAAY,EAAE,MAAM,CAAC;IACrB,WAAW,EAAE,MAAM,CAAC;CACrB,CAAC"}

package/dist/types.js

@@ -0,0 +1,2 @@
+export {};
+//# sourceMappingURL=types.js.map

package/dist/types.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"types.js","sourceRoot":"","sources":["../src/types.ts"],"names":[],"mappings":""}

package/package.json

@@ -0,0 +1,81 @@
+{
+  "name": "@arthur.eudeline/payload-plugin-mfa",
+  "version": "0.1.1",
+  "description": "Two-factor authentication (TOTP + one-time backup codes) for the Payload CMS admin panel.",
+  "keywords": [
+    "payload",
+    "payload-plugin",
+    "payloadcms",
+    "2fa",
+    "mfa",
+    "totp",
+    "authenticator"
+  ],
+  "license": "MIT",
+  "author": "Arthur Eudeline",
+  "homepage": "https://github.com/arthur-eudeline/payload-plugins/tree/main/packages/payload-plugin-mfa#readme",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/arthur-eudeline/payload-plugins.git",
+    "directory": "packages/payload-plugin-mfa"
+  },
+  "bugs": {
+    "url": "https://github.com/arthur-eudeline/payload-plugins/issues"
+  },
+  "type": "module",
+  "sideEffects": [
+    "*.css"
+  ],
+  "publishConfig": {
+    "access": "public"
+  },
+  "exports": {
+    ".": {
+      "types": "./dist/index.d.ts",
+      "import": "./dist/index.js",
+      "default": "./dist/index.js"
+    },
+    "./client": {
+      "types": "./dist/exports/client.d.ts",
+      "import": "./dist/exports/client.js",
+      "default": "./dist/exports/client.js"
+    },
+    "./rsc": {
+      "types": "./dist/exports/rsc.d.ts",
+      "import": "./dist/exports/rsc.js",
+      "default": "./dist/exports/rsc.js"
+    }
+  },
+  "files": [
+    "dist"
+  ],
+  "dependencies": {
+    "otpauth": "^9.5.1",
+    "qrcode": "^1.5.4"
+  },
+  "peerDependencies": {
+    "@payloadcms/next": "^3.88.0",
+    "@payloadcms/ui": "^3.88.0",
+    "next": "^15.0.0 || ^16.0.0",
+    "payload": "^3.88.0",
+    "react": "^19.0.0"
+  },
+  "devDependencies": {
+    "@payloadcms/next": "3.88.0",
+    "@payloadcms/ui": "3.88.0",
+    "@types/node": "^26.2.0",
+    "@types/qrcode": "^1.5.6",
+    "@types/react": "19.2.18",
+    "next": "16.3.2",
+    "payload": "^3.88.0",
+    "react": "19.2.8",
+    "typescript": "6.0.3"
+  },
+  "engines": {
+    "node": ">=20.9.0"
+  },
+  "scripts": {
+    "build": "rm -rf dist && tsc && node scripts/copy-assets.mjs",
+    "typecheck": "tsc --noEmit"
+  }
+}