florian.wilde
e3d8e70a38
Session-Login mit genau einem Admin-Konto, Passwort als bcrypt-Hash. Sessions mit HttpOnly, SameSite=Lax, strict mode, ID-Wechsel beim Login, Inaktivitaets- und absoluter Zeitgrenze; ueber HTTPS wird das Cookie automatisch auf secure gesetzt. Ein Passwortwechsel entwertet bestehende Sitzungen. Das Rate-Limiting zaehlt Fehlversuche pro IP-Hash - die IP selbst wird nie gespeichert. SetupToken schliesst das Zeitfenster zwischen Upload und erstem Aufruf: ohne das Einmal-Token aus dem Datenverzeichnis laesst sich kein Konto anlegen.