ScarriffleandClaude Opus 5
7690718731
Ein zweiter Weg herein, kein Ersatz. Wer weiter Passwort und Zwei-Faktor
benutzen will, merkt nichts: Ohne eingerichteten Anbieter sieht die
Login-Seite aus wie bisher.
DER WEG FUER BESTEHENDE KONTEN ist das Verknuepfen, nicht das Anmelden: einmal
wie gewohnt hereinkommen, unter "Mein Konto" auf "Mit Authentik verknuepfen",
fertig. Danach geht beides.
Was es ausdruecklich NICHT gibt, ist das automatische Zusammenfuehren ueber
die E-Mail. Es waere der bequeme Weg und der gefaehrliche: Wer beim Anbieter
eine fremde Adresse eintraegt, uebernaehme damit ein fremdes Konto – und die
E-Mail ist dort die Angabe, die sich am leichtesten aendern laesst. Deshalb
sagt der Nutzer selbst, wer er beim Anbieter ist, im angemeldeten Zustand.
Aus demselben Grund legt eine unbekannte Anmeldung standardmaessig KEIN Konto
an, sondern wird mit dem Hinweis abgewiesen, sich anzumelden und zu
verknuepfen. Sonst bekaeme genau der Mensch, der schon ein Konto hat, bei
seiner ersten SSO-Anmeldung ein zweites, leeres – und seine Daten laegen
weiter unter dem alten. Wer will, schaltet AUTO_CREATE ein.
Geprueft wird mit Authlib, nicht von Hand: Signatur gegen JWKS, Aussteller,
Empfaenger, Laufzeit und nonce. Dazu state gegen untergeschobene Rueckkehr und
PKCE, obwohl der Client vertraulich ist – es kostet nichts und der Code taugt
damit auch fuer einen oeffentlichen.
Ein zweiter Anbieter ist reine Konfiguration:
APP_OIDC_PROVIDERS=authentik,keycloak
Nebenbei zwei Stellen abgesichert, die es vorher nicht geben konnte: Ein Konto
ohne Passwort faellt beim Passwort-Login nicht mehr in argon2 (das haette
verraten, dass es diesen Benutzernamen gibt), und die letzte Verknuepfung
laesst sich nicht loesen, solange es kein Passwort gibt – sonst schliesst sich
der Nutzer aus seinem eigenen Konto aus.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Deployment (Proxmox-LXC + Nginx Proxy Manager)
Voraussetzung: Python 3.11+ – also ein Debian-12- oder Ubuntu-24.04-LXC (Debian 11 hat nur Python 3.9 und wird nicht unterstützt).
install.shprüft das und bricht mit einer klaren Meldung ab, falls die Version zu alt ist.
Installation
Im LXC (Debian 12 / Ubuntu 24.04) das Repo klonen und als root installieren:
git clone <repo-url> /opt/certain-finance
cd /opt/certain-finance
sudo ./deploy/install.sh
Das Skript installiert Python/Node, richtet eine venv ein, baut das Frontend,
erzeugt /etc/certain-finance/env (mit Zufallsgeheimnissen), legt den systemd-
Dienst certain-finance an und startet ihn. Node wird nur zum Bauen gebraucht;
der laufende Dienst ist reines Python.
Direktzugriff (http://IP:Port)
Standardmäßig lauscht der Dienst auf 0.0.0.0:<APP_PORT> (Standard-Port 8071) und
ist damit direkt im LAN erreichbar: http://<LXC-IP>:8071. Dafür ist
APP_COOKIE_SECURE=false gesetzt (sonst speichert der Browser die Sitzung über
reines HTTP nicht). Möchtest du den Zugriff auf einen Reverse-Proxy auf demselben
Host beschränken, setze APP_BIND_HOST=127.0.0.1 in /etc/certain-finance/env.
Optional: HTTPS über Nginx Proxy Manager
Wenn du von außen per HTTPS zugreifen willst, einen Proxy Host anlegen:
- Domain Names: deine (Sub-)Domain
- Scheme:
http - Forward Hostname / IP: IP dieses LXC
- Forward Port: Wert von
APP_PORT(Standard8071) - Block Common Exploits: an
- Websockets Support: nicht nötig
- SSL: Let's Encrypt-Zertifikat anfordern, „Force SSL" an
Für spätere CSV-/PDF-Uploads in den Advanced-Einstellungen des Hosts
client_max_body_size 20m; setzen.
Bei ausschließlichem HTTPS-Zugriff kannst du APP_COOKIE_SECURE=true in
/etc/certain-finance/env setzen (danach systemctl restart certain-finance) –
dann werden die Sitzungs-Cookies nur über HTTPS gesendet. Für gemischten Zugriff
(HTTP im LAN und HTTPS von außen) belasse es bei false.
Betrieb
systemctl status certain-finance # Status
journalctl -u certain-finance -f # Logs
systemctl restart certain-finance # Neustart
sudo ./deploy/update.sh # Update (git pull + build + Migration + Neustart)
Backup
Die Datenbank liegt unter /var/lib/certain-finance/app.db. update.sh legt vor
jeder Migration automatisch eine Kopie unter /var/lib/certain-finance/backups/
an. Zusätzlich empfiehlt sich ein Proxmox-vzdump-Snapshot des Containers.