Tweestapsverificatie voor PrestaShop: installatiegids

Tweestapsverificatie (2FA / TOTP). Tweestapsverificatie voegt TOTP-eenmalige codes (Google Authenticator, Authy, Microsoft Authenticator) toe aan het back-office en het klantaccount: activering via QR-code, versleutelde opslag van de geheimen, back-upcodes voor eenmalig gebruik en een blokkering tegen brute-force-aanvallen. De module is volledig zelfstandig: geen externe dienst, geen netwerkaanroep, geen extra bibliotheek.

Tweestapsverificatie voegt TOTP-eenmalige codes (Google Authenticator, Authy, Microsoft Authenticator) toe aan het back-office en het klantaccount: activering via QR-code, versleutelde opslag van de geheimen, back-upcodes voor eenmalig gebruik en een blokkering tegen brute-force-aanvallen. De module is volledig zelfstandig: geen externe dienst, geen netwerkaanroep, geen extra bibliotheek.

1. Installatie

1. Ga in het back-office naar Modules → Module Manager → Upload a module en selecteer de ZIP van de module.
2. Klik na de installatie op Configure om de installatiewizard te openen.

Als u in plaats van de bevestiging de melding ‘Upload failed’ ziet, heeft PrestaShop de module mogelijk zonder bericht uitgeschakeld: uw instellingen en gegevens blijven behouden. Hoe u een module bijwerkt en wat u doet bij de melding ‘Upload failed’.

2. Configuratie: stap voor stap

Het scherm Configure bevat één instellingenpaneel, gevolgd door twee lijsten met geregistreerde gebruikers. Stel eerst het beleid in en gebruik daarna de lijsten om te zien wie beveiligd is en om iedereen die buitengesloten is te resetten.

Two-Factor Authentication - Settings hoofdschakelaar

Dit paneel bepaalt waar 2FA geldt en hoe streng. Sla op met de knop Save onderaan.

• Enable 2FA for the back office: schakelt de tweede factor in voor medewerkers die zich aanmelden bij het beheer. Zolang deze optie aanstaat, wordt elk verzoek in het back-office geblokkeerd totdat de code is geverifieerd.
• Enable 2FA for the front office: schakelt de tweede factor in voor klanten in hun accountomgeving.
• Force 2FA for these profiles: door komma's gescheiden profiel-ID's (bijv. 1 voor SuperAdmin). Medewerkers met deze profielen moeten zich registreren; het formulier toont ter referentie elk profiel-ID met naam.
• Tolerance window (steps of 30s): hoeveel stappen van 30 seconden klokafwijking worden geaccepteerd (0-5). Hogere waarden zijn toegeeflijker als de klok van een telefoon iets afwijkt; lagere waarden zijn strenger.
• Number of backup codes: hoeveel herstelcodes voor eenmalig gebruik bij de registratie worden aangemaakt (4-20, standaard 8). Elke code werkt één keer als de authenticator-app niet beschikbaar is.
• Issuer name (shown in the app): het label dat in de authenticator-app naast het account verschijnt. Laat het veld leeg om de naam van de webwinkel te gebruiken.
• Drop data on uninstall: bij Yes worden alle geheimen en back-upcodes verwijderd wanneer de module wordt gedeïnstalleerd.

Tweestapsverificatie: paneel Settings

Enrolled employees

Toont alle back-officemedewerkers die 2FA hebben ingesteld, met ID, naam, e-mailadres, status (Active of Pending) en datum van de laatste wijziging.

• Reset 2FA: verwijdert het geheim van die medewerker en zet het aantal mislukte pogingen op nul, zodat hij of zij zich opnieuw van begin af aan kan registreren (gebruik dit als iemand de telefoon kwijt is of buitengesloten is).
• Als zich nog niemand heeft geregistreerd, meldt het paneel dat eenvoudig.

Geregistreerde medewerkers: status bekijken en toegang resetten

Enrolled customers

Dezelfde lijst voor front-officeklanten die 2FA voor hun account hebben ingeschakeld: ID, naam, e-mailadres, status en laatste wijziging.

• Reset 2FA: wist de registratie en het aantal mislukte pogingen van een klant, zodat die zich opnieuw kan registreren. Handig bij supportvragen als een klant niet meer kan inloggen.
• De lijst is leeg totdat minstens één klant zich registreert.

Geregistreerde klanten: status bekijken en toegang resetten

3. Controleer of het werkt

• Schakel 2FA in voor het back-office, meld u af en weer aan: u wordt gevraagd een QR-code te scannen en een 6-cijferige code in te voeren voordat u het dashboard bereikt.
• Controleer na de registratie of uw account in de lijst Enrolled employees staat met de status Active.
• Meld u af, meld u opnieuw aan en voer in plaats van de code uit de app een van uw back-upcodes in: u wordt eenmalig binnengelaten en de code is daarna verbruikt.
• Klik in het back-office op Reset 2FA bij een testaccount en controleer of het uit de lijst verdwijnt en bij de volgende aanmelding opnieuw om registratie vraagt.

4. FAQ

Welke authenticator-apps worden ondersteund?

Elke standaard TOTP-app (RFC 6238) werkt: Google Authenticator, Authy, Microsoft Authenticator en vergelijkbare apps.

Wat als een medewerker de telefoon kwijtraakt?

Die kan een back-upcode gebruiken, of een beheerder kan in de lijst Enrolled op Reset 2FA klikken zodat een nieuw apparaat kan worden geregistreerd.

Is er een internetverbinding of externe dienst nodig?

Nee. Codes worden lokaal aangemaakt en gecontroleerd; geheimen worden versleuteld opgeslagen. Er is geen netwerkaanroep en geen afhankelijkheid van derden.

Is het veilig tegen brute force?

Ja. Herhaaldelijk foute codes leiden tot een blokkering tegen brute-force-aanvallen, en het tolerantievenster is instelbaar om beveiliging en gebruiksgemak in balans te brengen.