Ein Monitoring-Konto ist ein lohnendes Ziel: Wer es übernimmt, sieht deine Infrastruktur und kann Warnungen abschalten. Deshalb haben wir uns gegen Passwörter entschieden.
So läuft die Anmeldung
Du gibst deine E-Mail-Adresse ein und bekommst einen sechsstelligen Code. Er gilt 15 Minuten und nur für eine begrenzte Zahl von Versuchen. Danach bleibst du angemeldet, ohne den Code erneut eingeben zu müssen.
Was das bringt
- Kein Passwort, das bei einem anderen Dienst abhandenkommt und dann bei uns ausprobiert wird.
- Kein Passwort, das jemand erraten oder abschreiben kann.
- Kein „Passwort vergessen“: Der Weg zum Konto ist immer derselbe.
Wie die Sitzung geschützt ist
Nach der Anmeldung hält der Browser ein Erneuerungstoken in einem HttpOnly-Cookie. Skripte auf der Seite können es nicht lesen, und bei jeder Verwendung wird es durch ein neues ersetzt. Ein abgefangenes, bereits benutztes Token nützt deshalb nichts mehr.
Worauf es jetzt ankommt
Wer dein E-Mail-Postfach kontrolliert, kann sich anmelden. Schütze dein Postfach deshalb selbst mit einem starken Passwort und einem zweiten Faktor. Zusätzlich kannst du in den Einstellungen eine Authenticator-App als zweiten Faktor für Uptime einschalten.
