AndreyandClaude Opus 5 9606be8bc9 🔒 fix(identity): код TOTP принимается один раз ...

Отметка `totp_last_used_at` писалась, но ни с чем не сравнивалась. Код живёт
30 секунд и принимается с окном ±1 интервал, значит подсмотренный код работал
второй раз ещё полторы минуты — RFC 6238 §5.2 требует запоминать интервал.
Появилось поле `totp_last_counter`: `verify_totp` возвращает номер принятого
интервала, и коды до него включительно больше не проходят. Тем же путём идёт
подтверждение при настройке 2FA — код, которым её включили, на входе не
сработает.

Заодно два соседних. Шаг с кодом доставал пользователя без `is_active`: пароль
приняли раньше, и сотрудник, отключённый между шагами, всё равно входил.
И у начатого входа не было срока — брошенная вкладка ждала код сколько угодно
долго; теперь пять минут.

Три теста.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-09-08 13:58:02 +03:00

..

backend

🔒 fix(identity): код TOTP принимается один раз

2026-09-08 13:58:02 +03:00

internal-ui

💄 fix(agents): «Выключить агента» и «Удалить» — в меню карточки

2026-09-08 03:15:47 +03:00

web-chat

🔒 fix(webchat): виджет открыт миру — origin по заголовкам, лимиты, срок сессии

2026-09-08 13:57:10 +03:00