Die Sprache ist auf Deutsch umgestellt.
Öffentliche Demo. Alle können sich mit den Demo-Konten anmelden, und jede Stunde werden alle Daten gelöscht. Bitte keine echten Daten eingeben.
Sicherheit
Diese Schutzmaßnahmen bringt die Vorlage mit. Sie ersetzen keine Prüfung deiner eigenen Erweiterungen, nehmen dir aber die Grundlagen ab.
Anmeldung
- Passwörter mit scrypt nach OWASP-Empfehlung (N = 2¹⁷)
- Zweiter Faktor per TOTP (RFC 6238), Schlüssel verschlüsselt mit AES-256-GCM
- Zehn Wiederherstellungscodes, gespeichert nur als Hash, jeder einmal gültig
- Passkeys statt Code, an diese Website gebunden, damit eine nachgemachte Seite sie nicht nutzen kann
- Kontosperre nach Fehlversuchen, auch falsche Codes zählen mit
Tokens und Links
- JWT mit festem Algorithmus, Issuer, Audience und Token-Typ
- Refresh-Tokens sind einmal nutzbar; wird eines erneut benutzt, enden alle Sitzungen
- Links für Passwort-Reset und E-Mail-Bestätigung sind einmal gültig und laufen ab
- Tokens aus E-Mail-Links erscheinen in keinem Log
Browser
- Content Security Policy ohne Inline-Skripte und Inline-Styles
- CSRF-Token in jedem Formular, dazu eine Prüfung der Fetch-Metadata
- Session-Cookie mit HttpOnly, Secure, SameSite=Strict und __Host-Präfix
- HSTS, COOP, COEP, CORP und Permissions-Policy
Eingaben und Betrieb
- Jede Anfrage wird gegen ein Schema geprüft, unbekannte Felder werden abgelehnt
- Schutz vor NoSQL-Injection und Prototype Pollution
- Größenlimits, Rate-Limits und Timeouts gegen Slowloris
- Fehlermeldungen ohne interne Details, dafür mit Fehler-ID