ScarriffleandClaude Opus 5
7690718731
Ein zweiter Weg herein, kein Ersatz. Wer weiter Passwort und Zwei-Faktor
benutzen will, merkt nichts: Ohne eingerichteten Anbieter sieht die
Login-Seite aus wie bisher.
DER WEG FUER BESTEHENDE KONTEN ist das Verknuepfen, nicht das Anmelden: einmal
wie gewohnt hereinkommen, unter "Mein Konto" auf "Mit Authentik verknuepfen",
fertig. Danach geht beides.
Was es ausdruecklich NICHT gibt, ist das automatische Zusammenfuehren ueber
die E-Mail. Es waere der bequeme Weg und der gefaehrliche: Wer beim Anbieter
eine fremde Adresse eintraegt, uebernaehme damit ein fremdes Konto – und die
E-Mail ist dort die Angabe, die sich am leichtesten aendern laesst. Deshalb
sagt der Nutzer selbst, wer er beim Anbieter ist, im angemeldeten Zustand.
Aus demselben Grund legt eine unbekannte Anmeldung standardmaessig KEIN Konto
an, sondern wird mit dem Hinweis abgewiesen, sich anzumelden und zu
verknuepfen. Sonst bekaeme genau der Mensch, der schon ein Konto hat, bei
seiner ersten SSO-Anmeldung ein zweites, leeres – und seine Daten laegen
weiter unter dem alten. Wer will, schaltet AUTO_CREATE ein.
Geprueft wird mit Authlib, nicht von Hand: Signatur gegen JWKS, Aussteller,
Empfaenger, Laufzeit und nonce. Dazu state gegen untergeschobene Rueckkehr und
PKCE, obwohl der Client vertraulich ist – es kostet nichts und der Code taugt
damit auch fuer einen oeffentlichen.
Ein zweiter Anbieter ist reine Konfiguration:
APP_OIDC_PROVIDERS=authentik,keycloak
Nebenbei zwei Stellen abgesichert, die es vorher nicht geben konnte: Ein Konto
ohne Passwort faellt beim Passwort-Login nicht mehr in argon2 (das haette
verraten, dass es diesen Benutzernamen gibt), und die letzte Verknuepfung
laesst sich nicht loesen, solange es kein Passwort gibt – sonst schliesst sich
der Nutzer aus seinem eigenen Konto aus.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
84 lines
3.6 KiB
Plaintext
84 lines
3.6 KiB
Plaintext
# Konfiguration für Certain Finance (Umgebungsvariablen, Präfix APP_).
|
||
# install.sh erzeugt daraus /etc/certain-finance/env mit sicheren Zufallswerten.
|
||
# Nach Änderungen den Dienst neu starten: systemctl restart certain-finance
|
||
|
||
# Ablageort für SQLite-Datenbank und Backups (muss dem Dienst-Benutzer gehören).
|
||
APP_DATA_DIR=/var/lib/certain-finance
|
||
|
||
# Adresse + Port, auf denen der Dienst lauscht.
|
||
# APP_BIND_HOST=0.0.0.0 macht die Web-UI direkt über http://<LXC-IP>:<APP_PORT>
|
||
# im LAN erreichbar. Willst du NUR über einen Reverse-Proxy auf DEMSELBEN Host
|
||
# zugreifen, setze 127.0.0.1.
|
||
APP_BIND_HOST=0.0.0.0
|
||
APP_PORT=8071
|
||
|
||
# Signiert/HMACt Sitzungen. UNBEDINGT zufällig setzen (install.sh macht das).
|
||
APP_SESSION_SECRET=change-me-please
|
||
|
||
# Cookies nur über HTTPS senden. Bei direktem HTTP-Zugriff (http://IP:Port) MUSS
|
||
# das false sein, sonst speichert der Browser die Sitzung nicht (Login klappt dann
|
||
# scheinbar, springt aber sofort zurück). Nur wenn du ausschließlich über HTTPS
|
||
# zugreifst (z. B. Nginx Proxy Manager mit erzwungenem SSL), kannst du true setzen.
|
||
APP_COOKIE_SECURE=false
|
||
|
||
# Erster Admin – wird NUR beim allerersten Start angelegt (wenn noch kein Nutzer da ist).
|
||
# Erfüllt das Passwort die Passwortrichtlinie nicht (Vorgabe: 10 Zeichen, Gross,
|
||
# Klein, Ziffer), verlangt die App beim ersten Anmelden sofort ein neues. Genau
|
||
# so ist "changeme" hier auch gemeint.
|
||
APP_ADMIN_USERNAME=admin
|
||
APP_ADMIN_PASSWORD=changeme
|
||
|
||
# Standard-Hauptwährung für neue Benutzer (EUR oder CHF).
|
||
APP_DEFAULT_BASE_CURRENCY=EUR
|
||
|
||
# Beim Start die aktuellen EZB-Wechselkurse laden (ab Phase 1 relevant).
|
||
APP_ECB_FETCH_ON_START=true
|
||
|
||
# Wird vom Install-/Update-Skript gesetzt (kurzer Git-Commit, für /api/version).
|
||
APP_GIT_SHA=
|
||
|
||
# --- Anmeldung über einen fremden Dienst (OpenID Connect) --------------------
|
||
#
|
||
# Optional. Bleibt APP_OIDC_PROVIDERS leer, ändert sich nichts: Es gibt weiter
|
||
# nur Benutzername und Passwort, und die Login-Seite zeigt keinen zusätzlichen
|
||
# Knopf.
|
||
#
|
||
# Der Name in der Liste ist zugleich der Name in der Adresse und in der
|
||
# Datenbank. Er darf sich später NICHT ändern, sonst finden bestehende
|
||
# Verknüpfungen ihren Anbieter nicht mehr wieder.
|
||
#
|
||
# Ein zweiter Anbieter ist reine Konfiguration – am Code ändert sich nichts:
|
||
# APP_OIDC_PROVIDERS=authentik,keycloak
|
||
#
|
||
#APP_OIDC_PROVIDERS=authentik
|
||
|
||
# Die Discovery-Adresse deiner Anwendung in Authentik (Slug einsetzen).
|
||
#APP_OIDC_AUTHENTIK_DISCOVERY_URL=https://authentik.example.com/application/o/certain/.well-known/openid-configuration
|
||
|
||
# Aus Authentik: Provider-Typ "OAuth2/OpenID", Client-Typ "Confidential".
|
||
#APP_OIDC_AUTHENTIK_CLIENT_ID=
|
||
#APP_OIDC_AUTHENTIK_CLIENT_SECRET=
|
||
|
||
# Was auf dem Knopf steht.
|
||
#APP_OIDC_AUTHENTIK_LABEL=Authentik
|
||
|
||
# Als Redirect-URI trägst du in Authentik genau das hier ein
|
||
# (dieselbe Adresse, unter der du Certain aufrufst):
|
||
# https://certain.example.com/api/auth/oidc/authentik/callback
|
||
|
||
# Darf jemand, den es in Certain noch nicht gibt, sich selbst ein Konto
|
||
# anlegen? Vorgabe: nein – und das ist Absicht.
|
||
#
|
||
# Wer schon ein Konto hat, verknüpft es EINMAL: normal anmelden, dann unter
|
||
# "Mein Konto" auf "Mit Authentik verknüpfen". Danach geht beides. Stünde das
|
||
# hier auf true, bekäme derselbe Mensch bei seiner ersten SSO-Anmeldung ein
|
||
# zweites, leeres Konto – seine Daten lägen weiter unter dem alten.
|
||
#
|
||
# Auf true stellen, wenn sich neue Leute selbst anmelden können sollen. Dann
|
||
# entscheidet Authentik, wer in Certain hereinkommt: Beschränke die Anwendung
|
||
# dort auf eine Gruppe.
|
||
#APP_OIDC_AUTHENTIK_AUTO_CREATE=false
|
||
|
||
# Wenn AUTO_CREATE an ist: neue Konten nur für diese E-Mail-Domänen.
|
||
#APP_OIDC_AUTHENTIK_ALLOWED_DOMAINS=example.com,example.org
|