Der Zwei-Faktor-Login ergänzt die Anmeldung am Dashboard um einen zweiten Schritt. Nach dem Passwort fragt PureWiki nach einem 6-stelligen Code aus einer Authenticator-App auf deinem Handy. Er ist freiwillig, jeder Benutzer richtet ihn für sein eigenes Konto ein.

Unterstützte Apps

Jede App mit TOTP-Unterstützung funktioniert, zum Beispiel Aegis (Android), Google Authenticator oder Microsoft Authenticator. Die Codes folgen RFC 6238, haben 6 Stellen und wechseln alle 30 Sekunden.

Einrichten

Öffne oben rechts im Dashboard das Benutzermenü und wähle Zwei-Faktor-Login einrichten.
Scanne den QR-Code mit der App. Auf Handy oder Tablet tippst du stattdessen auf In Authenticator-App öffnen. Klappt beides nicht, gib den Schlüssel unter dem QR-Code in der App ein.
Gib den 6-stelligen Code aus der App ein und klicke auf Aktivieren.

Ist der Code falsch, öffnet sich der Dialog mit demselben Schlüssel erneut, die App muss also nicht neu scannen. Leser haben keinen Zugang zum Dashboard und können den Zwei-Faktor-Login daher nicht einrichten.

Anmelden

Nach dem Passwort fragt die Login-Seite nach dem Code. Gib innerhalb von 5 Minuten den aktuellen Code aus der App ein. Abbrechen führt zurück zur normalen Anmeldung.

Jeder Code gilt nur einmal: Nach einer Anmeldung wird derselbe Code abgelehnt. Meldest du dich gleich wieder an, warte auf den nächsten Code in der App.
Uhrzeit am Handy: Sie muss stimmen, bis zu 30 Sekunden Abweichung sind in Ordnung. Schlagen Codes immer wieder fehl, stelle die Uhrzeit am Handy auf automatisch.
Fehlversuche: Falsche Codes zählen wie falsche Passwörter. Nach 5 Fehlversuchen ist das Konto für 15 Minuten gesperrt.

Ausschalten

Wähle im Benutzermenü Zwei-Faktor-Login ausschalten und bestätige mit deinem Passwort. Lösche danach den Eintrag in der App.

Handy verloren

Ein Administrator kann den Zwei-Faktor-Login anderer Benutzer unter Globale Einstellungen > Benutzerverwaltung ausschalten. Benutzer mit Zwei-Faktor-Login tragen ein 2FA-Abzeichen, der Schild-Button in derselben Zeile setzt ihn zurück. Der Benutzer meldet sich dann nur mit dem Passwort an und kann ihn neu einrichten.

Nur ein Administrator?

Verliert der einzige Administrator sein Handy, kann ihn niemand im Dashboard zurücksetzen. Öffne dann config/users.json per FTP oder im Dateimanager deines Hosters und lösche beim Benutzer die Zeilen totp_secret und totp_last_step. Entferne auch das Komma am Ende der Zeile davor, damit die Datei gültiges JSON bleibt.

"admin": {
    "password_hash": "$2y$10$...",
    "role": "admin",
    "totp_secret": "ABCD...",
    "totp_last_step": 59785887
}

Tags: