Verwaltung: nur noch EINMAL den Code eingeben

Rueckmeldung 22.08.2026: "ich hab auf der verwaltungs seite 2 mal dass ich den zugangscode eingeben muss und vanvan auch, ich will es nur einmal eingeben muessen." Berechtigt. Die Zugangswand hat serverseitig laengst geprueft, WER da ist -- Dogfather oder VanVan, laut Masterplan S.4 beide gleichberechtigte Volladministratoren. Ein zweites Passwort danach bringt keinen zusaetzlichen Schutz, es kostet nur jedes Mal Zeit. Warum es nicht einfach "Cookie mitschicken" ist: Die Verwaltungsdaten liegen hinter postfach.dogfather-universe.com, einem ANDEREN Rechnernamen. Das Sitzungs-Cookie gilt dort nicht -- so sind Cookies gebaut, und das ist gut so. Loesung: Die Zugangswand stellt unter /webdesign/api-ausweis einen kurzlebigen, signierten Ausweis aus, den die interne API anerkennt. - 15 Minuten gueltig, die Seite holt bei Bedarf still einen neuen - traegt bereich="wd-admin", damit ein Sitzungs-Token der Zugangswand hier NICHT durchgeht und umgekehrt - nur mit gueltiger Zugangssitzung zu bekommen - gilt AUSSCHLIESSLICH fuer die /webdesign-Endpunkte. Postfach, Bewerbungen, Supporter und Teamverwaltung bleiben unberuehrt Fehlt WEBDESIGN_API_SECRET auf einer der beiden Seiten, gilt kein Ausweis und die Verwaltung fragt wie bisher nach dem Team-Code. Ein fehlender Konfigurationswert darf niemals eine Tuer oeffnen -- nur eine schliessen. Genau das prueft der letzte Testfall. Bei einem 401 wird EINMAL still ein neuer Ausweis geholt und die Anfrage wiederholt, statt jemanden mitten im Arbeiten rauszuwerfen. 10/10 Tests, darunter: gefaelschte Signatur, fremdes Geheimnis, abgelaufen, falscher Bereich, erfundene Rolle. Co-Authored-By: Claude Opus 5 <[email protected]>
2026-08-22 21:36:11 +02:00
parent 2542a2598e
commit 74091590b8
8 changed files with 298 additions and 9 deletions
@@ -85,3 +85,11 @@ PAYPAL_WD_PLAN_PREMIUM=
 # Zufallszeichenkette. Wird sie geaendert, passen alte Hashes nicht mehr --
 # das ist unkritisch, sie dienen nur der Missbrauchserkennung.
 WD_IP_SALT=
+
+# Gegenstueck zu WEBDESIGN_API_SECRET in server/.env (22.08.2026).
+# MUSS exakt derselbe Wert sein. Damit erkennt die interne API den Ausweis
+# der Zugangswand an und Dogfather/VanVan muessen sich in der
+# Webdesign-Verwaltung nicht ein zweites Mal anmelden.
+# Der Ausweis gilt AUSSCHLIESSLICH fuer die /webdesign-Endpunkte -- Postfach,
+# Bewerbungen, Supporter und Teamverwaltung bleiben unberuehrt.
+WEBDESIGN_API_SECRET=