セキュリティのチェックリスト

API キー

• サーバーのシークレット設定（環境変数、ユーザーシークレット、保管庫）にあり、ソースコード、ブラウザー、モバイルアプリには入っていない。
• アプリケーションごとに別のキーを使っている。管理コンソールで、止めずに新しいキーを作り古いキーを無効にする方法を知っている。

ログイン

• 2段階目はパスワードの直後に、サーバーで行う。セッションをログイン済みにするのは、APPROVED、TRUSTED、または NO_METHOD についてのあなたのポリシーに従うときだけ。
• SecondStep はサーバー側のセッションにだけある。
• 送る IP アドレスは、自社の信頼できるプロキシから得た訪問者のもの。
• DENIED ではログインを終わらせ、パスワードの変更を勧める。
• 記憶したデバイスの Cookie は HttpOnly、Secure、SameSite=Lax。

フェイルクローズ

• TenonAuthUnavailable ではログインを拒否する。例外は、見直し済みの短い一覧の緊急用アカウントだけで、そのログインはすべて記録・通知される。
• ApiKeyRejected で、だれも入れない。

方法の変更

• 方法の変更・削除には、改めての確認（コード、承認、またはパスワード）が必要。
• リカバリーコードは、方法の設定直後に1回だけ表示する。
• メールのコードは、自社の記録にあるアドレスにだけ送る。

復旧

• ヘルプデスクは、対面、ビデオ通話、または上司を通じた本人確認のあとにだけアクセスパスを発行する。
• 2段階目を外すメールのリンクや秘密の質問はない。

退職などのとき

• アカウントを閉じる手順に deleteUser が含まれている。