ScarriffleandClaude Opus 5
7fc8763d57
Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet. Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem naechsten Fenster gleich darauf nochmal einloesen. Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein Wechsel verlangt, mit passendem Grund fuer den Hinweistext. Nebenbei geschlossen: must_change_password war bisher nur im Frontend erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum Erfuellen der Pflicht braucht. Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten. Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet, je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht, wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich abgewiesen, statt halb zu raten. Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret und Codes sind markierbar, sonst verhinderte das globale user-select das Kopieren. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Deployment (Proxmox-LXC + Nginx Proxy Manager)
Voraussetzung: Python 3.11+ – also ein Debian-12- oder Ubuntu-24.04-LXC (Debian 11 hat nur Python 3.9 und wird nicht unterstützt).
install.shprüft das und bricht mit einer klaren Meldung ab, falls die Version zu alt ist.
Installation
Im LXC (Debian 12 / Ubuntu 24.04) das Repo klonen und als root installieren:
git clone <repo-url> /opt/certain-finance
cd /opt/certain-finance
sudo ./deploy/install.sh
Das Skript installiert Python/Node, richtet eine venv ein, baut das Frontend,
erzeugt /etc/certain-finance/env (mit Zufallsgeheimnissen), legt den systemd-
Dienst certain-finance an und startet ihn. Node wird nur zum Bauen gebraucht;
der laufende Dienst ist reines Python.
Direktzugriff (http://IP:Port)
Standardmäßig lauscht der Dienst auf 0.0.0.0:<APP_PORT> (Standard-Port 8071) und
ist damit direkt im LAN erreichbar: http://<LXC-IP>:8071. Dafür ist
APP_COOKIE_SECURE=false gesetzt (sonst speichert der Browser die Sitzung über
reines HTTP nicht). Möchtest du den Zugriff auf einen Reverse-Proxy auf demselben
Host beschränken, setze APP_BIND_HOST=127.0.0.1 in /etc/certain-finance/env.
Optional: HTTPS über Nginx Proxy Manager
Wenn du von außen per HTTPS zugreifen willst, einen Proxy Host anlegen:
- Domain Names: deine (Sub-)Domain
- Scheme:
http - Forward Hostname / IP: IP dieses LXC
- Forward Port: Wert von
APP_PORT(Standard8071) - Block Common Exploits: an
- Websockets Support: nicht nötig
- SSL: Let's Encrypt-Zertifikat anfordern, „Force SSL" an
Für spätere CSV-/PDF-Uploads in den Advanced-Einstellungen des Hosts
client_max_body_size 20m; setzen.
Bei ausschließlichem HTTPS-Zugriff kannst du APP_COOKIE_SECURE=true in
/etc/certain-finance/env setzen (danach systemctl restart certain-finance) –
dann werden die Sitzungs-Cookies nur über HTTPS gesendet. Für gemischten Zugriff
(HTTP im LAN und HTTPS von außen) belasse es bei false.
Betrieb
systemctl status certain-finance # Status
journalctl -u certain-finance -f # Logs
systemctl restart certain-finance # Neustart
sudo ./deploy/update.sh # Update (git pull + build + Migration + Neustart)
Backup
Die Datenbank liegt unter /var/lib/certain-finance/app.db. update.sh legt vor
jeder Migration automatisch eine Kopie unter /var/lib/certain-finance/backups/
an. Zusätzlich empfiehlt sich ein Proxmox-vzdump-Snapshot des Containers.