clemens/kaffeekasse-saas
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

M8: Security-Headers, Rate-Limits und Audit-Log

Browse Source 
Erste drei Bausteine der Haertung:

- Security-Headers (X-Content-Type-Options, X-Frame-Options, Referrer-
  Policy, Permissions-Policy, HSTS bei HTTPS) laufen automatisch ueber
  app_send_security_headers() am Ende von app/bootstrap.php fuer jede
  dynamische Seite; landing.php war als einzige Seite ganz ohne PHP und
  bekam einen minimalen Bootstrap-Aufruf. Bewusst kein CSP, da die
  bestehenden Templates durchgaengig auf Inline-style-Attribute setzen.
- DB-gestuetzte Rate-Limits (neue Tabelle rate_limit_attempts) fuer
  Login (10/15min je E-Mail, 20/15min je IP), Registrierung (5/h je IP)
  und Passwort-Reset-Anfrage (5/h je E-Mail, 10/h je IP); bei
  ausgereiztem Reset-Limit erscheint dieselbe generische Meldung wie im
  Erfolgsfall, um kein Konto-Enumeration-Signal zu geben.
- Zentrales Audit-Log (neue Tabelle audit_log) fuer Mitgliederverwaltung,
  Zugangsvergabe/-entzug, Storno, Mandant-Einstellungen, Hinweise,
  CSV-Import, Jahresbonus-Verteilung und Live-Mailversand; sichtbar fuer
  Owner/Admin auf mandant-einstellungen.php.

Live getestet: Rate-Limit greift nach 10 Fehlversuchen, Audit-Log-Eintrag
mit korrekten Metadaten und Nutzernamen ueber einen isolierten Test-
Mandanten geprueft. Alle Regressionstests weiterhin gruen (26/26 Smoke,
104 Golden-Master-Assertions).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
clemens
2026-07-15 18:04:14 +02:00
co-authored by Claude Sonnet 5
parent 7b517bcbf6
commit 54217d2acb
18 changed files with 375 additions and 55 deletions
Download Patch File Download Diff File Expand all files Collapse all files
passwort-vergessen.php
+21 -10
View File
@@ -2,6 +2,7 @@
require_once __DIR__ . '/functions.php';
require_once __DIR__ . '/app/saas-mail.php';
require_once __DIR__ . '/app/rate-limit.php';
$pdo = app_db_pdo();
$email = trim((string)($_POST['email'] ?? ''));
@@ -12,18 +13,28 @@ $resetLink = null;
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
app_require_csrf();
$result = saas_request_password_reset($pdo, $email, $tenantSlug);
if ($result['ok']) {
$message = $result['message'];
if (saas_should_show_auth_links() && !empty($result['token'])) {
$resetLink = 'passwort-zuruecksetzen.php?token=' . urlencode((string)$result['token']);
}
if (!empty($result['token'])) {
saas_send_password_reset_mail($email, (string)$result['token']);
}
$emailBucketOk = app_rate_limit_check($pdo, 'pwreset_email:' . saas_email_norm($email), 5, 3600);
$ipBucketOk = app_rate_limit_check($pdo, 'pwreset_ip:' . app_client_ip(), 10, 3600);
if (!$emailBucketOk || !$ipBucketOk) {
// Gleiche generische Meldung wie im Erfolgsfall, damit ein
// ausgereiztes Limit nicht verrät, ob das Konto existiert.
$message = 'Wenn ein passendes Konto existiert, wurde ein Link vorbereitet.';
} else {
$errors = $result['errors'];
$result = saas_request_password_reset($pdo, $email, $tenantSlug);
if ($result['ok']) {
$message = $result['message'];
if (saas_should_show_auth_links() && !empty($result['token'])) {
$resetLink = 'passwort-zuruecksetzen.php?token=' . urlencode((string)$result['token']);
}
if (!empty($result['token'])) {
saas_send_password_reset_mail($email, (string)$result['token']);
}
} else {
$errors = $result['errors'];
}
}
}