Kontosperrung bei fehlerhaftem Login deaktivieren

Hi.

Ich habe für einen Verein eine Seite gebaut, die sich in zwei Teile gliedert, die jeweils auch nur eine bestimmte Benutzergruppe sehen kann. Es gibt also zwei logins, einmal für Träger und einmal für Einsatzstellen... Diesen beiden Gruppen habe ich jeweils einen Zugang eingerichtet.

Funktioniert soweit bestens - nur:
Wenn z.B. Träger A mehrmals ein falsches Passwort eingibt, ist der Zugang für 5 Minuten gesperrt, d.h., alle anderen Träger kommen dann auch nicht auf die Seite. Gibt es irgendwo eine Einstellung, wo man diese Sperrung deaktivieren kann?

Besten Dank und Grüße!

Du hast einen Account für alle Träger? Würd ich niemals so machen …

Ich vermute, dass du die Sicherheitssperre nicht umgehen kannst, außer, wenn du den Core änderst. Ich tippe mal spontan auf die User-Klasse, da könnte das geregelt werden.

Es geht dabei ja nur um Mitgliedergruppen.
Der Sinn dahinter ist, dass die Einsatzstellen nicht die Dokumente sehen sollen, die Träger betreffen und umgekehrt. Da sind keine wirklich sicherheitsrelevanten Inhalte, es geht da nur um Übersichtlichkeit und von außen sollte die Seite auch nicht erreichbar sein.. es ist also eh alles intern.
Backend-Zugriff hat natürlich nur der Admin, bzw. der Redakteur.

Aber so dachte ich mir das, dass man im Core was löscht, nur wo?

Das solltest Du generell nicht machen!

Auch wenn alles intern ist, Fehler können immer passieren und der Mensch neigt, so gut er auch einen Eindruck hinterläßt, dazu alles aus zu probieren.
Um das zumindest in Grenzen zu halten, würde ich jedem Benutzer seinen eigenen Account zur Verfügung stellen.
Nebenbei wäre Dein Versuch auch nicht Update sicher.

Mir fällt grade auf, das könnte auch so gehen: Im Backend -> Einstellungen die Sperrzeit für Konten auf 0 (oder 1) setzen. Probier das mal.

Sicher wäre das eleganter, jedem einen eigenen Login zu geben, der administrative Aufwand ist dann aber höher... das müsste mal abklären.

Aber ich probier erst mal die Laufzeit zu verändern...

Bei den Einstellungen kann man "Wartezeit bei gesperrtem Konto" einstellen. Aber das geht nicht, egeal, was ich eingebe, bei Speichern setzt sich der Wert immer auf "300" zurück...

... war ein Fehler irgendwie... mit "0" gehts... super! Und wieder mal so einfach...

Wie gesagt, die Seite lief mit phpwcms schon ein paar Jahre, ich habe sie jetzt nur umgebaut.

Aber ich kann das ja mal anregen mit den eigenen logins...

Besten Dank soweit!

HI

mit einzelnen Accounts pro Person bist du auch besser beraten, wenn mal eine Person von einer in die andere Gruppe wechelt. Dann wüsste sie bei deiner Methode beide Zugänge, bei einem persönlichen Zugang bleibt das Passwort der Person gleich, aber du änderst einfach die Mitgliedergruppe.

Sebastian

Hi Leute,

ich habe eine ähnliche Situation. Ein Login 3 mal falsch eingegeben, ist eine Sperre drin.
Wie lässt sich das Ganze in Contao 4.7 erhöhen, z.B. auf 6 Versuche, und wie lässt sich die Sperre generell abschalten?

Zitat:

---

Zitat von Schnippel

Hi Leute,

ich habe eine ähnliche Situation. Ein Login 3 mal falsch eingegeben, ist eine Sperre drin.
Wie lässt sich das Ganze in Contao 4.7 erhöhen, z.B. auf 6 Versuche, und wie lässt sich die Sperre generell abschalten?

---

Hallo,
hast du hierzu eine Lösung gefunden? Bei mir wäre es Contao 4.9.

Vielleicht wäre das hier ein Lösung:
https://community.contao.org/de/show...der-entsperren

Zitat:

---

Zitat von Schnippel

Vielleicht wäre das hier ein Lösung:
https://community.contao.org/de/show...der-entsperren

---

Das sollte er nicht unbedingt verwenden denn das Modul ist kompatibel bis Contao 2.11 (wir haben aktuell 4.9.x). Die Erweiterung wird nicht mehr supported

Die Anzahl an Versuchen ist grundsätzlich auf 3 hard gecodet. Evt. kannst du aber mit einem security.authentication.failure Event die Versuche selbst mitzählen und in seinem separaten Datenbankfeld speichenr und dabei immer loginAttempts auf 0 setzen - bis es deine Anzahl erreicht - und dann setzt du loginAttempts wieder auf 3.

Du kannst auch einen PR für den Core machen, sodass die Login Attempts konfigurierbar werden über die Bundle Configuration ;)

Zitat:

---

Zitat von Spooky

Die Anzahl an Versuchen ist grundsätzlich auf 3 hard gecodet. Evt. kannst du aber mit einem security.authentication.failure Event die Versuche selbst mitzählen und in seinem separaten Datenbankfeld speichenr und dabei immer loginAttempts auf 0 setzen - bis es deine Anzahl erreicht - und dann setzt du loginAttempts wieder auf 3.

Du kannst auch einen PR für den Core machen, sodass die Login Attempts konfigurierbar werden über die Bundle Configuration ;)

---

Vielen Dank für den Ansatz, das schaue ich mir mal an.