opencrm

Hacker-Software/opencrm

Fork 0

Commit Graph

Author	SHA1	Message	Date
duffyduck	3e1fc3eab2	Mitarbeiter-Passwörter auf 25 Zeichen (BSI-Empfehlung) Portal-Customer-Schwellwert bleibt 12 (Handy-Eingabe → längere PWs erhöhen Reuse-Risiko). Mitarbeiter/Admin nutzen Passwort-Manager, für die kostet die Länge nichts. passwordGenerator.ts: - STAFF_MIN_PASSWORD_LENGTH = 25, PORTAL_MIN_PASSWORD_LENGTH = 12 - validatePasswordComplexity({ minLength }) parametrisiert Mitarbeiter-Pfade auf 25: - createUser, register, setUserPassword - confirmPasswordReset: Audience aus Token bestimmen (getPasswordResetAudience), User → 25, Customer → 12. Kein Body-Hint, damit kein Downgrade-Trick möglich. Portal-Pfade unverändert (default 12): - setPortalPassword, changeInitialPortalPassword Seed-Admin: - 28-char Zufallspasswort (statt 16) mit allen 4 Klassen garantiert - SEED_ADMIN_PASSWORD-ENV nur akzeptiert wenn ≥ 25 Zeichen, sonst Log-Warnung + Random-Fallback Frontend: - UserList: Hinweis "Mind. 25 Zeichen". Update + PW gleichzeitig → zwei API-Calls (PUT + POST /users/:id/password) statt Password im Body durchzuschmuggeln (Backend strippt es eh) - PasswordResetConfirm: Hinweis "Mind. 12 (Mitarbeiter: 25)" - userApi.setPassword(id, password) neu Live-verifiziert: - POST /users/6/password "Hallo123!Test" (12) → 400 "mindestens 25" - POST /users/6/password "MeinExtremLangesPW2026!Test" → 200, Login mit neuem PW → success - POST /customers/3/portal/password "Hallo123!Test" (12) → 200 - POST /users createUser mit 12-char-PW → 400 "mindestens 25" Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-18 15:19:58 +02:00
duffyduck	8a5ffbb563	Passwort-Komplexität + Portal-Credentials-UX validatePasswordComplexity (12 Zeichen, Groß/Klein/Zahl/Sonderzeichen) zentral in passwordGenerator.ts; jetzt erzwungen in setPortalPassword, confirmPasswordReset, register, createUser, updateUser. Neue Endpoints: - POST /customers/:id/portal/password/generate → 16-Zeichen Zufallspasswort - POST /customers/:id/portal/send-credentials → Versand per Mail (nur wenn portalEnabled aktiv) Frontend (CustomerDetail): Generate-Button vor Setzen, Send-Credentials nach gesetztem Passwort, Live-Komplexitäts-Hint (✓/○) während Eingabe, alert() durch Toast-Notifications ersetzt. Live-verifiziert: schwaches Passwort → 400 mit Detail-Fehler, komplexes Passwort → 200, Generator liefert 16-Zeichen-Passwort. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-16 18:26:11 +02:00
duffyduck	8c9e61cf17	added backup and email client	2026-02-01 00:02:35 +01:00

Author

SHA1

Message

Date

duffyduck

3e1fc3eab2

Mitarbeiter-Passwörter auf 25 Zeichen (BSI-Empfehlung)

Portal-Customer-Schwellwert bleibt 12 (Handy-Eingabe → längere PWs
erhöhen Reuse-Risiko). Mitarbeiter/Admin nutzen Passwort-Manager,
für die kostet die Länge nichts.

passwordGenerator.ts:
- STAFF_MIN_PASSWORD_LENGTH = 25, PORTAL_MIN_PASSWORD_LENGTH = 12
- validatePasswordComplexity({ minLength }) parametrisiert

Mitarbeiter-Pfade auf 25:
- createUser, register, setUserPassword
- confirmPasswordReset: Audience aus Token bestimmen
  (getPasswordResetAudience), User → 25, Customer → 12. Kein
  Body-Hint, damit kein Downgrade-Trick möglich.

Portal-Pfade unverändert (default 12):
- setPortalPassword, changeInitialPortalPassword

Seed-Admin:
- 28-char Zufallspasswort (statt 16) mit allen 4 Klassen garantiert
- SEED_ADMIN_PASSWORD-ENV nur akzeptiert wenn ≥ 25 Zeichen,
  sonst Log-Warnung + Random-Fallback

Frontend:
- UserList: Hinweis "Mind. 25 Zeichen". Update + PW gleichzeitig →
  zwei API-Calls (PUT + POST /users/:id/password) statt
  Password im Body durchzuschmuggeln (Backend strippt es eh)
- PasswordResetConfirm: Hinweis "Mind. 12 (Mitarbeiter: 25)"
- userApi.setPassword(id, password) neu

Live-verifiziert:
- POST /users/6/password "Hallo123!Test" (12) → 400 "mindestens 25"
- POST /users/6/password "MeinExtremLangesPW2026!Test" → 200,
  Login mit neuem PW → success
- POST /customers/3/portal/password "Hallo123!Test" (12) → 200
- POST /users createUser mit 12-char-PW → 400 "mindestens 25"

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-05-18 15:19:58 +02:00

duffyduck

8a5ffbb563

Passwort-Komplexität + Portal-Credentials-UX

validatePasswordComplexity (12 Zeichen, Groß/Klein/Zahl/Sonderzeichen)
zentral in passwordGenerator.ts; jetzt erzwungen in setPortalPassword,
confirmPasswordReset, register, createUser, updateUser.

Neue Endpoints:
- POST /customers/:id/portal/password/generate → 16-Zeichen Zufallspasswort
- POST /customers/:id/portal/send-credentials → Versand per Mail
  (nur wenn portalEnabled aktiv)

Frontend (CustomerDetail): Generate-Button vor Setzen, Send-Credentials
nach gesetztem Passwort, Live-Komplexitäts-Hint (✓/○) während Eingabe,
alert() durch Toast-Notifications ersetzt.

Live-verifiziert: schwaches Passwort → 400 mit Detail-Fehler, komplexes
Passwort → 200, Generator liefert 16-Zeichen-Passwort.

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-05-16 18:26:11 +02:00

duffyduck

8c9e61cf17

added backup and email client

2026-02-01 00:02:35 +01:00

3 Commits