Stel TFA verplicht

maurice.hendriks commented

2026-04-24 10:07:17 +00:00

Helemaal als je uberadmin bent 😉

Helemaal als je uberadmin bent :wink:

👍 5

gina.plat added this to the Codeplatform kanban project

2026-04-26 07:25:17 +00:00

bovh commented

2026-04-28 12:45:08 +00:00

Owner

Inloggen met een magic link zou ook niet misstaan, dan kan iemand direct geen toegang meer krijgen bij een verwijderde account.

daan.buursen commented

2026-05-04 09:30:05 +00:00

Collaborator

@gina.plat, @bovh, ik kan dit aanzetten vanuit de configuratie.

Heeft natuurlijk wel impact op alle gebruikers en ik weet niet wat het proces is van herstellen voor de gebruikers die hun telefoon vernietigen zonder backup en de herstelcodes ook niet ergens opgeslagen hebben. Dat moet even uitgezocht worden door iemand die functioneel dingen met Forgejo doet.

@gina.plat, @bovh, ik kan dit aanzetten vanuit de configuratie. Heeft natuurlijk wel impact op alle gebruikers en ik weet niet wat het proces is van herstellen voor de gebruikers die hun telefoon vernietigen zonder backup en de herstelcodes ook niet ergens opgeslagen hebben. Dat moet even uitgezocht worden door iemand die functioneel dingen met Forgejo doet.

bart.knubben commented

2026-05-07 13:01:19 +00:00

Misschien verplichte 2FA beperken tot alleen admins. Er bestaat in ieder geval een config variabele voor:

GLOBAL_TWO_FACTOR_REQUIREMENT: none: Which users are required to enable 2FA. One of "none", "all", "admin".

none: No user is required to enable 2FA

all: All users are required to enable 2FA

admin: Every admin is required to enable 2FA

Zie: https://forgejo.org/docs/next/admin/config-cheat-sheet/#:~:text=GLOBAL_TWO_FACTOR_REQUIREMENT%3A%20none%3A%20Which%20users%20are,admin%20is%20required%20to%20enable%202FA

Het is me niet duidelijk of en, zo ja, hoe een account waarvan de 2FA herstelcodes niet meer beschikbaar zijn, kan worden hersteld door de code.overheid.nl-admin.

Misschien verplichte 2FA beperken tot alleen admins. Er bestaat in ieder geval een config variabele voor: > GLOBAL_TWO_FACTOR_REQUIREMENT: none: Which users are required to enable 2FA. One of "none", "all", "admin". > * none: No user is required to enable 2FA > * all: All users are required to enable 2FA > * admin: Every admin is required to enable 2FA Zie: https://forgejo.org/docs/next/admin/config-cheat-sheet/#:~:text=GLOBAL_TWO_FACTOR_REQUIREMENT%3A%20none%3A%20Which%20users%20are,admin%20is%20required%20to%20enable%202FA Het is me niet duidelijk of en, zo ja, hoe een account waarvan de 2FA herstelcodes niet meer beschikbaar zijn, kan worden hersteld door de code.overheid.nl-admin.

mark.janssen commented

2026-05-07 17:29:49 +00:00

De Forgejo CLI heeft een reset-mfa optie om MFA voor een gebruiker te resetten: https://forgejo.org/docs/latest/admin/command-line/#admin-user

De Forgejo CLI heeft een `reset-mfa` optie om MFA voor een gebruiker te resetten: https://forgejo.org/docs/latest/admin/command-line/#admin-user

👍 1

frank.niessink commented

2026-05-08 14:33:38 +00:00

Lijkt me goed dat MFA verplicht is. Als het niet verplicht wordt voor alle gebruikers zou ik het minimaal willen kunnen verplichten voor leden van de organisatie waarvan ik admin ben (ICTU). CC: @Eric.Nieuwland.

eric.nieuwland commented

2026-05-21 14:49:01 +00:00

Eens met @frank.niessink. Het reduceert het aantal mogelijkheden om repo's te besmetten.

bovh commented

2026-05-27 12:29:22 +00:00

Owner

Voor ons lijkt het belangrijkste dat de gene die inlogt ook diegene is die toegang heeft tot het desbetreffende emailadres. Zou het misschien mogelijk zijn om enkel aanmelden met een 'magic link', ofwel email als TFA, te kunnen verplichten. Dat is in iedergeval iets waarvan we weten dat iedereen dat makkelijk moet kunnen gebruiken.

Anders ben ik er redelijk voor dat we voor de hele server TFA gaan verplichten, het lijkt me namelijk voor de gehele community wenselijk dat iedereen geverifieerd is.

Voor ons lijkt het belangrijkste dat de gene die inlogt ook diegene is die toegang heeft tot het desbetreffende emailadres. Zou het misschien mogelijk zijn om enkel aanmelden met een 'magic link', ofwel email als TFA, te kunnen verplichten. Dat is in iedergeval iets waarvan we weten dat iedereen dat makkelijk moet kunnen gebruiken. Anders ben ik er redelijk voor dat we voor de hele server TFA gaan verplichten, het lijkt me namelijk voor de gehele community wenselijk dat iedereen geverifieerd is.

christian.van.bruggen commented

2026-10-19 10:01:15 +00:00

@bovh wrote in #12 (comment):

Voor ons lijkt het belangrijkste dat de gene die inlogt ook diegene is die toegang heeft tot het desbetreffende emailadres. Zou het misschien mogelijk zijn om enkel aanmelden met een 'magic link', ofwel email als TFA, te kunnen verplichten. Dat is in iedergeval iets waarvan we weten dat iedereen dat makkelijk moet kunnen gebruiken.

Let op dat een magic link niet als Twee-Factor / Multi-Factor Authenticatie (TFA / MFA) gezien kan worden.

Het toepassen van MFA is volgens de BIO verplicht voor accounts die via internet gebruiken zijn (5.17.01). Zie ook #77.

Waarschijnlijk moet er gekeken worden naar het meegeven of afdwingen van MFA via de Authentication Context (acr) of Authentication Method (amr) via OpenID Connect (OIDC) / Single Sign On (SSO).

@bovh wrote in https://code.overheid.nl/code/docs/issues/12#issuecomment-335: > Voor ons lijkt het belangrijkste dat de gene die inlogt ook diegene is die toegang heeft tot het desbetreffende emailadres. Zou het misschien mogelijk zijn om enkel aanmelden met een 'magic link', ofwel email als TFA, te kunnen verplichten. Dat is in iedergeval iets waarvan we weten dat iedereen dat makkelijk moet kunnen gebruiken. Let op dat een magic link niet als Twee-Factor / Multi-Factor Authenticatie (TFA / MFA) gezien kan worden. Het toepassen van MFA is volgens de BIO verplicht voor accounts die via internet gebruiken zijn (5.17.01). Zie ook https://code.overheid.nl/code/docs/issues/77. Waarschijnlijk moet er gekeken worden naar het meegeven of afdwingen van MFA via de Authentication Context (acr) of Authentication Method (amr) via OpenID Connect (OIDC) / Single Sign On (SSO).

Rows
Columns

Stel TFA verplicht #12