florian.wildeandClaude Opus 5.5
cd83542482
Plan nach Freigabe vom 12.10.2026 mit den Antworten auf die sieben Rueckfragen. Issues fuer alle fuenf Phasen als Dateien, bis der Gitea-Zugang da ist (#030). Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
1.1 KiB
1.1 KiB
#004 Anmeldung, Rollen und erneute Bestätigung
Status: offen Meilenstein: v0.1.0 Labels: sicherheit Geschätzt: 5 h Tatsächlich: –
Ziel
Anmeldung per OIDC (authentik, in der Entwicklung Mock-Anbieter) und lokaler Notfall-Admin mit Passwort + TOTP. Rollen Admin/Operator/Leser, Re-Auth für kritische Aktionen.
Aufgaben
- Sitzungs-Cookie (
jose), OIDC mit PKCE (openid-client) - Rollen aus authentik-Gruppen, bei jeder Anmeldung neu
- Notfall-Admin: argon2id + TOTP (Pflicht), Einrichtung beim ersten Login
- Re-Auth: OIDC
prompt=login/max_age=0+auth_time, Notfall-Admin Passwort + TOTP; Gültigkeit 5 min - Rechtetabelle
darf(), jede Seite/Route prüft selbst; struktureller Test - Rate-Limit für Anmeldung und Re-Auth
- Mock-OIDC-Anbieter in
docker-compose.dev.yml - Proxy mit CSP-Nonce und Sicherheits-Kopfzeilen
Akzeptanzkriterien
- Ohne Anmeldung keine Seite erreichbar
- Operator sieht keine Private-Key-Funktionen
- Re-Auth älter als 5 min wird abgelehnt
Abhängigkeiten
#003