ModTwoAuth

Четыре способа 2FA:

• TOTP (RFC 6238)
• Email
• Telegram
• WebAuthn / FIDO2 / Passkeys.

Отдельные настройки для менеджера и для пользователей сайта, фронтенд совместим со сниппетом Login.

Защита от перебора: 3 неверных кода блокируют вход на 15 минут. Состояние блокировки хранится в базе и переживает перезапуск PHP-процессов, тот же лимит действует при первоначальной настройке метода.
TOTP-секреты лежат в базе только зашифрованными (libsodium XChaCha20-Poly1305), ключ шифрования — вне директории компонента.
Список активных сессий с отзывом по одной и принудительным завершением сессий старше заданного возраста.
QR-коды создаются локально в браузере встроенной библиотекой: одноразовые токены не уходят на за пределы.
Диагностика безопасности прямо на главной странице компонента: ключ, sodium, HTTPS, флаги cookie, CSP, статус плагинов.

выбор и настройка метода

[[!ModTwoAuthFrontend]]

доступны параметра

&methods можно оставить только нужные методы (totp,email,telegram,webauthn), если оставить пустым покажутся все.
&tpl ID чанка-шаблона (по умолчанию `modtwoauthFrontendSettingsTpl`).

список активных сессий

[[!ModTwoAuthSessions]]

доступны параметра

&showCurrent скрыть текущую сессию из списка (по умолчанию 1).
&tpl ID чанка-шаблона (по умолчанию `modtwoauthSessionsTpl`).
список активных сессий



Оба работают только для авторизованных пользователей и в любом веб-контексте.

Страницу подтверждения на фронтенде можно оформить в своем стиле -укажите ID чанка в modtwoauth_verify_chunk_id. При пустом или неверном значении компонент показывает к стандартный шаблону, на админку эта настройка не влияет.

Требования

MODX Revolution 3.x.
PHP 8.1+ с расширением sodium (входит в PHP по умолчанию с 7.2).
HTTPS — обязателен для Telegram-вебхука и WebAuthn.
ЧПУ для url /2fa и /2fa-web; без них работают прямые адреса.