Bremsen, Sperren und CSP: die offenen Punkte schliessen

S3: Aus der Kontosperre wird eine Wartezeit. Die alte Sperre wies auch das
richtige Passwort ab — wer die Adresse eines Administrators kannte, konnte
ihn alle 15 Minuten neu aussperren. Jetzt bleiben vier Fehlversuche
folgenlos, danach verdoppelt sich die Wartezeit bis zu einer Minute. Der
Besitzer kommt spaetestens nach einer Minute hinein, ein Fremder bekommt
einen Versuch pro Minute. Ausgewertet wird sie vor der Passwortpruefung,
damit ein ohnehin abgewiesener Versuch keine 128 MiB kostet.

S4: Drei Stufen statt einer. Die Bremse je Absender liest
X-Forwarded-For nur noch mit TRUST_PROXY=true — ohne Proxy waehlt den Wert
jeder Aufrufer selbst, und eine so umgehbare Bremse ist eine Behauptung.
Dazu die Wartezeit je Konto, die an der Datenbank haengt, und eine
Obergrenze fuer die ganze Installation: 60 Passwortpruefungen und 120
Rueckmeldungen je Minute. Die letzte Stufe ist die einzige, die sich nicht
ueber Kopfzeilen umgehen laesst, und sie schuetzt den Speicher.

CSP: Eine vollstaendige Policy mit Nonce je Anfrage, strict-dynamic,
default-src self, object-src none, base-uri und form-action self. Skripte
ohne den Nonce dieser Anfrage laufen nicht mehr. Zwei Lockerungen bleiben
und stehen begruendet in der Doku: style-src erlaubt unsafe-inline, weil
ein Nonce keine style-Attribute deckt, und media-src erlaubt https, weil
der Typ Video ausdruecklich Direktlinks annimmt.

Protokoll: Sicherheitsereignisse als JSON auf die Standardausgabe —
Fehlversuche, OIDC-Verknuepfungen samt abgelehnten, Vergabe von
Administratorrechten. Ohne Passwoerter, Token und Adressen.

Refs #20

src/app/api/auth/oidc/callback/route.ts

@@ -11,6 +11,7 @@ import {
   type OidcIdentity,
 } from "@/lib/auth/oidc";
 import { createSession } from "@/lib/auth/session";
+import { sicherheitsereignis } from "@/lib/auth/protokoll";
 import { prisma } from "@/lib/db";
 import { getBaseUrl } from "@/lib/env";
 
@@ -100,6 +101,12 @@ async function findeOderLegeAn(
     // jemand eine fremde Adresse eintragen und damit ein hiesiges Konto
     // übernehmen.
     if (!identity.emailVerified) {
+      // Der Versuch gehört ins Protokoll: Wenn er gehäuft auftritt, stimmt
+      // entweder die Anbieterkonfiguration nicht — oder jemand probiert es.
+      sicherheitsereignis("oidc-verknuepfung-abgelehnt", {
+        konto: nachEmail.id,
+        grund: "email-nicht-bestaetigt",
+      });
       return {
         fehler:
           "Es gibt hier schon ein Konto mit dieser E-Mail-Adresse, der Anbieter hat sie aber nicht bestätigt.",
@@ -116,6 +123,12 @@ async function findeOderLegeAn(
         ...(istAdmin === undefined ? {} : { isInstanceAdmin: istAdmin }),
       },
     });
+    // Eine Verknüpfung verschiebt eine Vertrauensgrenze: Ab jetzt kommt man
+    // über den Anbieter in dieses Konto. Das soll nachvollziehbar sein.
+    sicherheitsereignis("oidc-konto-verknuepft", {
+      konto: verknuepft.id,
+      administrator: verknuepft.isInstanceAdmin,
+    });
     return { id: verknuepft.id, isActive: verknuepft.isActive };
   }
 
@@ -153,6 +166,13 @@ async function findeOderLegeAn(
     { isolationLevel: "Serializable" },
   );
 
+  if (angelegt.isInstanceAdmin) {
+    sicherheitsereignis("administrator-vergeben", {
+      konto: angelegt.id,
+      weg: istAdmin === undefined ? "erster-benutzer" : "gruppe-des-anbieters",
+    });
+  }
+
   return { id: angelegt.id, isActive: angelegt.isActive };
 }