E-Mail verifizieren
Die Verifizierung ist Voraussetzung dafür, dass eine Session nutzbar wird — auf jedem Anmeldeweg.
Sicherheit
Passkeys und TOTP, gehashte Recovery-Tokens, mehrschichtige Rate-Limits und strikte Ownership-Prüfungen — plus strukturierte DSGVO-Exporte für die Anfragen, die du beantworten musst.
Kurz gesagt
Passkeys (WebAuthn) und TOTP mit Backup-Codes
Gehashte Recovery-Tokens und HttpOnly-Refresh-Tokens
Mehrschichtige Rate-Limits mit Retry-After-Headern
Eckdaten
- Zweite Faktoren
- TOTP mit Backup-Codes und Passkeys (WebAuthn)
- Standard-SSO-Laufzeit
- Konfigurierbare Keycloak-SSO-Session-Laufzeit (standardmäßig 365 Tage), Access-Cookies an echte Token-Laufzeit gebunden
- Token-Speicherung
- Recovery- und Verifikationstokens serverseitig gehasht; Refresh-Tokens ausschließlich HttpOnly
- Rate Limiting
- Pro IP, Identifier und Zielobjekt, mit 429-, Retry-After- und RateLimit-*-Headern
- DSGVO-Export
- Self-Service und Admin-Export über Konto, Tickets, Rechnungen, Mitgliedschaften und Support
Funktionen
- 01
Starke Authentifizierung
TOTP-Zweifaktor mit Backup-Codes, Passkeys per WebAuthn für passwortlosen Login und Geräteverwaltung zum gezielten Entziehen einzelner Geräte.
- 02
Verifizierungszwang
Neue und bestehende Konten mit unbestätigter E-Mail erhalten keine nutzbare Login-, OAuth-, Passkey- oder Email-Code-Session und werden stattdessen auf den Verifikationsfluss verwiesen.
- 03
Token-Hygiene
Reset-, Verifikations- und E-Mail-Änderungstokens werden gehasht und befristet gespeichert; Access-Tokens liegen nur flüchtig im Session-Storage, nie im Local Storage.
- 04
Anti-Missbrauchs-Layer
Login, Registrierung, Einladungs-Registrierung, Passwort- und Email-Code-Flows, öffentliche Shop-Mutationen, Guest-Checkout, Support-Chat und Proxy-Zugriffe werden pro IP, Identifier und Wiederholung begrenzt — mit 429-, Retry-After- und RateLimit-*-Headern bis in die Frontends.
- 05
Ownership-Härtung
Öffentliche und eingeloggte Endpunkte prüfen Objektkontext und Besitz, bevor gelesen, geändert oder gelöscht wird, und öffentliche Antworten geben keine internen Benutzer- oder Besitz-IDs mehr preis.
- 06
DSGVO-Exporte
Self-Service-Export für das eigene Konto und Admin-Export für Support und Compliance — gebündelt aus Konto-, Sicherheits-, Ticket-, Rechnungs-, Benachrichtigungs-, Mitgliedschafts-, Support- und Waitlist-Daten, ohne Geheimnisse im Klartext.
So funktioniert es
01 02 Zweiten Faktor ergänzen
TOTP mit Backup-Codes aktivieren oder einen Passkey für passwortlosen Login registrieren.
03 Geräte verwalten
Aktive Geräte prüfen und alle entfernen, die keinen Zugriff mehr haben sollen.
04 Auf Anfrage exportieren
Strukturierten Datenexport per Self-Service oder über den Admin-Export für eine formale Auskunft bereitstellen.
Sicherheit
Produktion startet nur mit separatem starkem OAuth-State-Secret und aktivierter E-Mail-Verifikationspflicht, verlangt HTTPS und sichere Origins für Frontend, WebAuthn und OIDC und erwartet Docker-Secrets für zentrale Backend-Secrets. Strukturierte Security-Logs und Metriken erfassen Auth-Versuche, 4xx/5xx- und 429-Serien sowie auffällige Zugriffsmuster pro IP.
Einsatzbereiche
Konferenzveranstalter — Mehr erfahren
Firmenkunden, deren Einkauf konkret nachfragt, wie Authentifizierung und Datenexport funktionieren.
Sportvereine — Mehr erfahren
Große Mitgliederbestände, bei denen ein Credential-Stuffing-Versuch auf ein Rate-Limit treffen muss, nicht auf die Datenbank.
Festivals — Mehr erfahren
Öffentliche Shop-Endpunkte, die beim Verkaufsstart dem ganzen Internet offenstehen — und Bots, die das ausnutzen wollen.
FAQ
- Ja. Passkeys per WebAuthn stehen neben Passwort-Login und TOTP-Zweifaktor mit Backup-Codes zur Verfügung, und über die Geräteverwaltung lassen sich aktive Geräte gezielt entfernen.
- Login, Registrierung, Einladungs-Registrierung, Passwort- und Email-Code-Flows, öffentliche Shop-Mutationen, Guest-Checkout, Support-Chat und Proxy-Zugriffe werden pro IP, Identifier und Wiederholung begrenzt; 429-, Retry-After- und RateLimit-*-Header werden bis in die Frontends durchgereicht.
- Ja. Ein Self-Service-Export deckt das eigene Konto ab, ein Admin-Export unterstützt Compliance- und Auskunftsprozesse. Beide bündeln Konto-, Sicherheits-, Ticket-, Rechnungs-, Benachrichtigungs-, Mitgliedschafts-, Support- und Waitlist-Daten; sicherheitskritische Geheimnisse werden nie im Klartext ausgeliefert.
- Öffentliche und eingeloggte Endpunkte prüfen Objektkontext und Besitz, bevor Daten gelesen, verändert oder gelöscht werden. Sitzplatz-Reservierungen erzwingen Ownership-Prüfungen beim Freigeben sowie Scope- und Permission-Checks beim Bestätigen, und eingeloggte Nutzer sehen ohne erhöhte Berechtigung nur ihre eigenen Reservierungen.
Projekt vom ersten Tag an mit Passkeys, Zweifaktor und verifizierten Konten aufsetzen.