From d22353c222aef6ab9a96d51b7b4d76ee84094a48 Mon Sep 17 00:00:00 2001 From: Malek Tellissi Date: Sun, 13 Sep 2026 02:54:41 +0200 Subject: [PATCH] Update README: OAuth security notes and nextcloud_id binding Co-Authored-By: Claude Sonnet 4.6 --- README.md | 8 ++++++++ 1 file changed, 8 insertions(+) diff --git a/README.md b/README.md index b984892..30a5ab1 100644 --- a/README.md +++ b/README.md @@ -29,6 +29,14 @@ Rollen werden bei jeder Anmeldung automatisch aus den Nextcloud-Gruppen übernom Benutzer ohne eine dieser Gruppen erhalten einen 403-Fehler. +### Sicherheitshinweise + +- **Account-Binding per Nextcloud-ID**: Accounts werden primär über die eindeutige Nextcloud-User-ID (`nextcloud_id`) verknüpft, nicht über die E-Mail. Das verhindert Account-Takeover, falls sich Fremde in Nextcloud registrieren können. +- **Freie Registrierung deaktivieren**: Auf der Nextcloud-Instanz sollte die Selbstregistrierung neuer Nutzer deaktiviert sein. +- **2FA empfohlen**: Für alle Nextcloud-Konten mit Panel-Zugriff sollte Zwei-Faktor-Authentifizierung erzwungen werden — Nextcloud ist der einzige Schlüssel zum Panel. +- **CSRF/State**: Laravel Socialite schickt und validiert den `state`-Parameter automatisch. Nie `->stateless()` verwenden. +- **Token wird verworfen**: Das Nextcloud-Access-Token wird nach dem Callback nicht gespeichert. Es wird nur verwendet, um Nutzerdaten abzufragen, danach startet eine normale Laravel-Session (HttpOnly-Cookie). + --- ## Lokale Entwicklung