Authentifizierung & Sicherheit
Das NDSF CMS bietet ein umfassendes Authentifizierungssystem mit mehreren Sicherheitsebenen.
Login-System
Abschnitt betitelt „Login-System“Anmeldung
Abschnitt betitelt „Anmeldung“Der Login erfolgt über die URL /backend und unterstützt:
- E-Mail und Passwort als primäre Anmeldemethode
- Automatische Weiterleitung nach erfolgreicher Anmeldung
- Session-Cookies für dauerhafte Anmeldung
Login-Fehlerbehandlung
Abschnitt betitelt „Login-Fehlerbehandlung“| Fehlercode | Bedeutung |
|---|---|
| 2 | Ungültige Anmeldedaten |
| 3 | Brute-Force-Schutz aktiv |
Brute-Force-Schutz
Abschnitt betitelt „Brute-Force-Schutz“Nach mehreren fehlgeschlagenen Anmeldeversuchen wird der Zugang vorübergehend gesperrt, um automatisierte Angriffe zu verhindern.
Zwei-Faktor-Authentifizierung (2FA)
Abschnitt betitelt „Zwei-Faktor-Authentifizierung (2FA)“Die 2FA basiert auf dem TOTP-Standard (Time-based One-Time Password).
2FA aktivieren
Abschnitt betitelt „2FA aktivieren“- Im Bereich Account auf “2FA aktivieren” klicken
- QR-Code mit einer Authenticator-App scannen (z.B. Google Authenticator, Authy)
- Den generierten Code zur Bestätigung eingeben
2FA deaktivieren
Abschnitt betitelt „2FA deaktivieren“Die 2FA kann jederzeit in den Account-Einstellungen deaktiviert werden.
Session-Cookie für 2FA
Abschnitt betitelt „Session-Cookie für 2FA“Nach erfolgreicher 2FA-Bestätigung wird ein Cookie gesetzt, das 30 Tage gültig ist. Während dieser Zeit ist keine erneute 2FA-Eingabe erforderlich.
Passkey-Authentifizierung
Abschnitt betitelt „Passkey-Authentifizierung“Passkeys ermöglichen eine passwortlose Anmeldung über biometrische Verfahren oder Hardware-Sicherheitsschlüssel.
Passkey registrieren
Abschnitt betitelt „Passkey registrieren“- Im Bereich Account den Passkey-Bereich aufrufen
- “Passkey hinzufügen” wählen
- Den Anweisungen des Browsers folgen (Fingerabdruck, Face ID, oder Sicherheitsschlüssel)
Passkey verwenden
Abschnitt betitelt „Passkey verwenden“Bei der Anmeldung kann alternativ zum Passwort ein registrierter Passkey verwendet werden.
Session-Management
Abschnitt betitelt „Session-Management“- PHP-Sessions werden für die Authentifizierung verwendet
- Session-Start erfolgt automatisch beim Aufruf des Backends
- Logout beendet die Session und löscht zugehörige Cookies
Berechtigungsprüfung
Abschnitt betitelt „Berechtigungsprüfung“Nach der Anmeldung wird für jeden Backend-Bereich geprüft:
- Hat der Benutzer eine gültige Session?
- Ist die 2FA (falls aktiviert) bestätigt?
- Hat die Rolle des Benutzers die erforderliche Berechtigung?
Bei fehlender Berechtigung wird eine “Unauthorized”-Seite angezeigt.
Abmeldung (Logout)
Abschnitt betitelt „Abmeldung (Logout)“Der Logout erfolgt über /backend/logout und:
- Beendet die aktuelle Session
- Leitet zur Login-Seite weiter
- Löscht Session-Cookies