OpenGenesisLINKWorld-API Passwortwiederherstellung – Sicherheit

World-API Passwortwiederherstellung – Sicherheit

World-API-Passwortwiederherstellung mit MariaDB und Einmal-Token, Berechtigungen, TTL und Staging-Hinweisen.

Aktualisiert 2026-10-25

Neuer P0-Recovery-Vertrag im Entwicklungszweig

Die World API ergänzt eine sicherheitsgetrennte Passwortwiederherstellung für das Stadtportal. Das Portal muss serverseitig autorisiert sein; öffentliche oder selbst vorgelegte Account-UUIDs dürfen keine Passwortänderung ermöglichen.

Nur für autorisierte Portal-Backends

POST /api/v1/auth/password-recovery/challenges
POST /api/v1/auth/password-recovery/complete

Getrennte Maschinen-Scopes password-recovery:issue und password-recovery:complete sind erforderlich. Die World bestätigt die tatsächliche Account-E-Mail; die Zustellung erfolgt ausschließlich an diese Adresse. Einmal-Token sind zufällig und laufen nach 900 Sekunden ab. Tokenhash, Accountbindung und Sperrstatus stehen in der bestehenden ROBUST-MariaDB-Tabelle ogl_password_recovery (InnoDB); keine separate SQLite-Datei. Token-Replay und konkurrierende Claims werden abgewehrt.

Staging-Konfiguration

[NexVerseWorldApi]
EnablePrivilegedEndpoints = true
PasswordRecoveryEnabled = true

Standardmäßig deaktiviert. Vor Freigabe sind Stadtportal-Anpassung, verifizierter Mailversand, echter Login im Firestorm nach Reset, Alte-Passwort-Negativtest, Rechte-, TLS-, Backup- und Rollbacknachweise erforderlich. Ein World-Token ist nicht mit einem alten Portal-Reset-Token austauschbar.

Hinweis: Der dokumentierte neue Recovery-Backend-Pfad setzt die bestehende ROBUST-MariaDB voraus. Das ist keine pauschale Aussage, dass der gesamte OpenGenesisLINK-Server ausschließlich MariaDB unterstützt.

Zur Hauptseite Roadmap