From ce66933acc6ed59581482b213c37b379cebc868e Mon Sep 17 00:00:00 2001 From: Sandro Date: Sat, 31 Oct 2026 13:16:19 +0100 Subject: [PATCH] docs(plan): drop the mail server login from the registration plan Co-Authored-By: Claude Opus 5.5 --- Doku/plans/registrierung-und-login.md | 19 ++----------------- 1 file changed, 2 insertions(+), 17 deletions(-) diff --git a/Doku/plans/registrierung-und-login.md b/Doku/plans/registrierung-und-login.md index ae388a3..d0c70f3 100644 --- a/Doku/plans/registrierung-und-login.md +++ b/Doku/plans/registrierung-und-login.md @@ -53,7 +53,7 @@ Damit die Admin-Einstellungen nicht überladen werden: ## 3. Anmelden mit anderen Konten -### a) OpenID Connect (empfohlen statt „nur Google“) +### OpenID Connect (statt „nur Google“) Ein allgemeiner OIDC-Login deckt Google, Microsoft, Apple und vor allem **selbst gehostete Anbieter** ab: Authentik, Keycloak, Authelia – und **Gitea/Forgejo selbst** kann OIDC-Anbieter sein. Für ein Homelab ist das meist nützlicher als Google. @@ -71,28 +71,13 @@ Ein allgemeiner OIDC-Login deckt Google, Microsoft, Apple und vor allem **selbst - Danach normale MindSift-Sitzung (wie heute), Abmelden bleibt lokal. - Passwort-Login bleibt daneben möglich; optional `PASSWORD_LOGIN=false`, wenn nur noch OIDC gewünscht ist (Admin-Notzugang beachten). -### b) Anmeldung über den Mailserver (wie die SMTP-Quelle in Gitea) - -Gitea prüft dabei E-Mail und Passwort, indem es sich damit am Mailserver anmeldet (SMTP AUTH). Klappt das, ist die Person echt; das Konto wird beim ersten Mal angelegt. - -- Konfiguration per Umgebung: - ```env - MAIL_LOGIN_HOST=mail.firma.de - MAIL_LOGIN_PORT=587 # STARTTLS oder 465 mit TLS – nie unverschlüsselt - MAIL_LOGIN_DOMAINS=firma.de # nur diese Adressen werden am Mailserver geprüft - ``` -- Für solche Konten speichert MindSift **kein** Passwort; jede Anmeldung fragt den Mailserver. Ändert sich das Mailpasswort, gilt automatisch das neue. -- Nachteile: Das Mailpasswort läuft durch MindSift (nur über TLS, nie loggen); fällt der Mailserver aus, kann sich niemand anmelden; Login-Bremse ist Pflicht, damit MindSift nicht zum Passwort-Rateautomaten für den Mailserver wird. Viele Anbieter (Google, Microsoft 365) erlauben SMTP AUTH mit dem normalen Passwort gar nicht mehr – sinnvoll ist das vor allem mit einem eigenen Mailserver. -- Technisch klein: Der SMTP-Code für den Versand (`internal/api/mail.go`, inkl. PLAIN/LOGIN) existiert schon. - -Empfehlung: **erst OIDC**, Mailserver-Login nur wenn ein eigener Mailserver ohne OIDC-Anbieter das Ziel ist. +Eine Anmeldung über den Mailserver (SMTP-Prüfung wie in Gitea) ist bewusst nicht vorgesehen: Das Mailpasswort liefe durch MindSift, und große Anbieter erlauben es meist nicht mehr. ## Reihenfolge und Aufwand (grob) 1. Registrierungsmodus mit Freigabe und Endungen, Umgebungsvariablen, Admin-Liste „Wartet auf Freigabe“, E-Mails – mittel. 2. E-Mail-Bestätigung per Link – klein (Technik wie Passwort vergessen). 3. OIDC-Login – mittel (Bibliothek `coreos/go-oidc` + `golang.org/x/oauth2`, neue Tabelle für verknüpfte Konten, Knopf auf der Anmeldeseite). -4. Mailserver-Login – klein bis mittel, optional. ## Offene Fragen