Authentifizierung, Sessions und Zwei-Faktor-Anmeldung #

Diese Seite richtet sich an Ingenieure, die die Anmeldung für eine Website entwerfen, Maschinen über die API anbinden oder die Kontosicherheit prüfen. Sie behandelt Menschen (Passwörter, zwei Faktoren, Sessions) und Maschinen (OAuth-Tokens, API-Schlüssel).

Inhalt #

1. Passwörter
2. Sessions
3. Zwei-Faktor-Anmeldung
4. Maschinen: OAuth und API-Schlüssel
5. Login-Handler
6. Zu treffende Entscheidungen

Passwörter #

Unbekannte Logins und falsche Passwörter kosten gleich viel Zeit, und Antworten auf "Passwort vergessen" sind einheitlich, sodass ein Angreifer keine Konten auflisten kann (Sicherheitsstandards). Seit August 2026 kann sich ein Konto ohne Zeile in ezuser_setting nicht anmelden: Die Anmeldung schlägt sicher fehl.

Sessions #

• site.ini [Session] SessionTimeout (Standard 360 Tage) beendet eine Session nach ihrer letzten Verwendung.
• [Session] Handler leer (der Standard) speichert Sessions in PHPs eigenem Speicher; ezpSessionHandlerDB speichert sie in der Tabelle ezsession, die mehrere Webknoten teilen können und die die Administration auflisten und beenden kann (Sessions).
• Session-Cookies sind seit September 2026 standardmäßig HttpOnly und SameSite und über HTTPS Secure (CookieSecure=auto); die Session-ID wird bei der Anmeldung neu erzeugt.
• Unter Velocity wird $_SESSION nach jeder Anfrage geschrieben und geleert.

Zwei-Faktor-Anmeldung #

Die Erweiterung sevenx_authentication_2fa, die composer.json verlangt und die Installer aktivieren, fügt nach dem Passwort einen zweiten Schritt hinzu: einen TOTP-Code aus einer Authenticator-App (RFC 6238, nur PHP-Bordmittel) oder einen Einmalcode per E-Mail. Ein Datentyp an der Benutzerklasse speichert Methode und Geheimnis jedes Benutzers; ein Login-Handler prüft das Passwort und schließt dann die Anmeldung ab oder leitet zur Abfrage weiter. Offene Abfragen sind JSON-Dateien unter var/, es wird also kein Redis oder Valkey gebraucht. Dieselbe Erweiterung enthält Handler für Social Login als Gerüste zum Anpassen (Zweistufige Anmeldung, sevenx_authentication_2fa).

Maschinen: OAuth und API-Schlüssel #

Was auch immer eine REST-Anfrage authentifiziert: Jedes Lesen und Schreiben prüft die Richtlinien des Benutzers (REST-API v1 und v2).

Login-Handler #

site.ini [UserSettings] LoginHandler[] listet die Handler, die der Reihe nach versucht werden; die Zwei-Faktor-Erweiterung fügt ihren eigenen vor standard ein. Verzeichnisdienste (LDAP und andere) werden auf dieselbe Weise eingebunden (Standards für APIs und Protokolle).

Zu treffende Entscheidungen #

• To do: Ist die Zwei-Faktor-Anmeldung für Administratoren und Redakteure Pflicht?
• To do: Ist eine Sperrzahl gesetzt, und stimmt TrustedProxies[], sodass die echten Client-Adressen gezählt werden?
• To do: Welcher Session-Handler: PHPs Speicher auf einem Knoten oder die Datenbank für mehrere Knoten und Session-Kontrolle?
• To do: Welche Maschinen erhalten API-Schlüssel, mit welchen Geltungsbereichen und Laufzeiten, und wer erneuert sie?
• To do: Werden Anmeldeereignisse überwacht (die Ereignisse access.session.* des Audit-Trails und die Alarmregel für Brute-Force)?

Verwandte Seiten #

• Sicherheitstechnik im Überblick
• eZUser und Zugriff
• Benutzerhygiene
• Freie Dokumentation: Diese Seite darf unter der GNU FDL 1.3 frei kopiert, übersetzt und verbessert werden.