Kevin Adametz
bae8347f6c
Audit: dev/sicherheit/SICHERHEITSAUDIT-2026-10-07.md, Plan und Entscheidungen: dev/sicherheit/ENTWICKLUNGSPLAN-SICHERHEIT-2026-10-07.md. - S-01 Legacy-Rechnungen fremder Kunden nur mit billing:manage (auch Kundenroute). - S-02 Kontaktzuordnung auf der Firmenanzeige verlangt companies:write, $id gesperrt. - S-03 CompanyMembershipObserver: automatische Firmenrechte werden bei jeder Adress-/Zuordnungsänderung sofort neu bewertet; memberships:resync-auto. - S-04 Passwortwechsel beendet alle anderen Sessions (PasswordChanger), Reset alle Sessions und offene Login-Links; Fortify PUT /user/password abgeschaltet. API-Tokens bleiben bestehen. - S-05 Google: email_verified Pflicht, feste Bindung über die Provider-ID; Erstverknüpfung bestehender Konten außerhalb gmail/hd nur per Bestätigungslink in derselben Browser-Session. - S-06 Frischer Identitätsnachweis (Passwort, App-Code, E-Mail-Code oder Passkey) vor E-Mail-Wechsel, erster 2FA-Einrichtung und Token-Erzeugung; Hinweis-Mails an die (bisherige) Kontoadresse. - Entscheidung 5: Passkeys (Fortify, @laravel/passkeys) für alle; Super-Admins und Admins bestätigen die Session für den Admin-Bereich per Passkey oder App-Code (EnsureStrongAdminAuthentication, Notfallschalter AUTH_REQUIRE_STRONG_ADMIN); Reset des zweiten Faktors durch Super-Admins. Neue Migration: create_passkeys_table. Suite 2.403 grün (1 übersprungen), Larastan ohne Meldung. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
41 lines
2.3 KiB
PHP
41 lines
2.3 KiB
PHP
{{--
|
|
Felder für den erneuten Identitätsnachweis (App\Livewire\Concerns\ConfirmsIdentity,
|
|
Sicherheitsaudit 07.10.2026, S-06). Erwartet $securityProofKind. Wer einen
|
|
Passkey hat, kann stattdessen damit bestätigen (Entscheidung 5): Die
|
|
Zeremonie gegen /passkeys/confirm markiert die Session als bestätigt
|
|
(TrackSecondFactorEvents), danach zeigt die Komponente keinen Nachweis mehr.
|
|
--}}
|
|
@if ($securityProofKind === 'two_factor')
|
|
<flux:input wire:model="securityCode" :label="__('Code aus der App oder Wiederherstellungs-Code')"
|
|
inputmode="numeric" autocomplete="one-time-code" placeholder="123456" required />
|
|
@elseif ($securityProofKind === 'password')
|
|
<flux:input wire:model="securityPassword" type="password" :label="__('Aktuelles Passwort')" autocomplete="current-password" required />
|
|
@elseif ($securityProofKind === 'email_code')
|
|
<div class="space-y-2">
|
|
<p class="text-[12px] text-[color:var(--color-ink-3)] m-0">
|
|
{{ __('Zur Bestätigung senden wir einen Code an Ihre aktuelle Adresse :email.', ['email' => auth()->user()->email]) }}
|
|
</p>
|
|
<div class="flex items-end gap-2">
|
|
<div class="flex-1 max-w-[200px]">
|
|
<flux:input wire:model="securityEmailCode" :label="__('Code aus der E-Mail')"
|
|
inputmode="numeric" autocomplete="one-time-code" placeholder="123456" />
|
|
</div>
|
|
<flux:button type="button" wire:click="requestSecurityEmailCode" variant="filled">
|
|
{{ $securityEmailCodeSent ? __('Code erneut senden') : __('Code senden') }}
|
|
</flux:button>
|
|
</div>
|
|
</div>
|
|
@endif
|
|
|
|
@if ($securityProofKind !== 'fresh' && auth()->user()->passkeys()->exists())
|
|
<div x-data="{ busy: false, error: null }" class="space-y-1">
|
|
<flux:button type="button" size="sm" variant="subtle" icon="finger-print" x-bind:disabled="busy"
|
|
x-on:click="busy = true; error = null;
|
|
const outcome = await window.PkPasskeys.confirm();
|
|
if (outcome.ok) { await $wire.$refresh(); } else { error = outcome.error; }
|
|
busy = false;">
|
|
{{ __('Stattdessen mit Passkey bestätigen') }}
|
|
</flux:button>
|
|
<p class="text-[12px] text-[color:var(--color-warn,#b91c1c)] m-0" x-show="error" x-text="error"></p>
|
|
</div>
|
|
@endif
|