Lebensdauer des Anmeldecodes in Authentik entscheiden #23

New Issue

benjamin · 2026-08-26T19:18:29+02:00

benjamin commented

2026-08-26 19:18:29 +02:00

Authentik gibt dem Gerätecode hier 60 Sekunden. Das reicht nicht für „QR scannen, am Handy anmelden, bestätigen" — beim Test ist der Code zweimal abgelaufen, bevor die Bestätigung durch war.

Was die App inzwischen macht

Sie holt sich automatisch einen frischen Code, bis zu acht Runden (LOGIN_CODE_ROUNDS in MainActivity). Vorher fiel sie beim Ablauf kommentarlos auf Schritt 1 zurück.

Was zu entscheiden ist

Das Nachladen ist eine Krücke um fremde Konfiguration herum: der Code auf dem Bildschirm wechselt still, während jemand ihn abtippt. Sauberer wäre eine längere Lebensdauer im OAuth2-Provider (fünf bis zehn Minuten), dann ist das Nachladen nur noch Netz.

Zu klären:

Lebensdauer im Authentik-Provider hochsetzen — ja oder nein?
Falls nein: soll der Fernseher sagen, dass der Code gerade gewechselt hat, statt ihn stillschweigend zu tauschen?

Hängt mit #21 zusammen: wer allein davorsteht, merkt den Wechsel sonst erst, wenn die Eingabe abgelehnt wird.

Authentik gibt dem Gerätecode hier **60 Sekunden**. Das reicht nicht für „QR scannen, am Handy anmelden, bestätigen" — beim Test ist der Code zweimal abgelaufen, bevor die Bestätigung durch war. **Was die App inzwischen macht** Sie holt sich automatisch einen frischen Code, bis zu acht Runden (`LOGIN_CODE_ROUNDS` in `MainActivity`). Vorher fiel sie beim Ablauf kommentarlos auf Schritt 1 zurück. **Was zu entscheiden ist** Das Nachladen ist eine Krücke um fremde Konfiguration herum: der Code auf dem Bildschirm wechselt still, während jemand ihn abtippt. Sauberer wäre eine längere Lebensdauer im OAuth2-Provider (fünf bis zehn Minuten), dann ist das Nachladen nur noch Netz. Zu klären: - Lebensdauer im Authentik-Provider hochsetzen — ja oder nein? - Falls nein: soll der Fernseher sagen, dass der Code gerade gewechselt hat, statt ihn stillschweigend zu tauschen? Hängt mit #21 zusammen: wer allein davorsteht, merkt den Wechsel sonst erst, wenn die Eingabe abgelehnt wird.

benjamin added this to the 1.0 milestone 2026-08-26 19:18:29 +02:00

benjamin referenced this issue from a commit

2026-08-26 19:33:31 +02:00

Work through the 1.0 milestone: focus, backend tests, remote, login code

benjamin commented

2026-08-26 19:35:00 +02:00

App-Hälfte erledigt in d269618: der Fernseher tauscht die Ziffern nicht mehr stillschweigend, sondern schreibt hin, was passiert ist — „Der alte Code war abgelaufen — neuer Code 566071643". Am Handy kommt zusätzlich ein Hinweis an.

Was offen bleibt: deine Entscheidung. Setzt du die Lebensdauer im Authentik-Provider hoch (fünf bis zehn Minuten), ist das Nachladen nur noch Netz statt Krücke. Bleibt es bei 60 Sekunden, muss jeder, der den Code abtippt, mit einem Wechsel mittendrin rechnen — der Hinweis macht das erträglich, nicht gut.

Bleibt offen, bis das entschieden ist.

App-Hälfte erledigt in `d269618`: der Fernseher tauscht die Ziffern nicht mehr stillschweigend, sondern schreibt hin, was passiert ist — „Der alte Code war abgelaufen — neuer Code 566071643". Am Handy kommt zusätzlich ein Hinweis an. **Was offen bleibt: deine Entscheidung.** Setzt du die Lebensdauer im Authentik-Provider hoch (fünf bis zehn Minuten), ist das Nachladen nur noch Netz statt Krücke. Bleibt es bei 60 Sekunden, muss jeder, der den Code abtippt, mit einem Wechsel mittendrin rechnen — der Hinweis macht das erträglich, nicht gut. Bleibt offen, bis das entschieden ist.

benjamin commented

2026-08-26 19:56:20 +02:00

Nachtrag 80b4c0c: die Frage lässt sich weitgehend umgehen, statt sie zu entscheiden.

Solange die Anmeldung aussteht, zeigt der QR-Code auf dem Willkommensbildschirm nicht mehr auf den Fernseher selbst, sondern auf die Bestätigungsseite des Identity Providers — mit dem Code schon in der URL. Scannen führt direkt auf „Bestätigen"; getippt werden muss nichts mehr. Die Ziffern stehen weiterhin darunter für alle, die lieber tippen, und das automatische Nachladen fängt weiterhin den Fall ab, dass ein Code abläuft, während jemand zum Handy geht.

Am Emulator gegen auth.beckm4nn.net geprüft: Zeile und QR zeigen denselben Code (220431410), der QR ist ein anderer als der Kopplungs-QR davor.

Damit verliert die Lebensdauer den größten Teil ihrer Schärfe. Deine Entscheidung bleibt trotzdem sinnvoll — wer den Code abtippt statt zu scannen, läuft weiter gegen die Uhr. Fünf bis zehn Minuten im Provider wären der saubere Zustand; wenn du bei 60 Sekunden bleibst, ist es jetzt aber kein Ärgernis mehr, sondern eine Fußnote.

Bleibt offen, bis du das eine oder das andere sagst.

Nachtrag `80b4c0c`: die Frage lässt sich weitgehend umgehen, statt sie zu entscheiden. Solange die Anmeldung aussteht, zeigt der QR-Code auf dem Willkommensbildschirm nicht mehr auf den Fernseher selbst, sondern auf die Bestätigungsseite des Identity Providers — **mit dem Code schon in der URL**. Scannen führt direkt auf „Bestätigen"; getippt werden muss nichts mehr. Die Ziffern stehen weiterhin darunter für alle, die lieber tippen, und das automatische Nachladen fängt weiterhin den Fall ab, dass ein Code abläuft, während jemand zum Handy geht. Am Emulator gegen `auth.beckm4nn.net` geprüft: Zeile und QR zeigen denselben Code (`220431410`), der QR ist ein anderer als der Kopplungs-QR davor. Damit verliert die Lebensdauer den größten Teil ihrer Schärfe. **Deine Entscheidung bleibt trotzdem sinnvoll** — wer den Code abtippt statt zu scannen, läuft weiter gegen die Uhr. Fünf bis zehn Minuten im Provider wären der saubere Zustand; wenn du bei 60 Sekunden bleibst, ist es jetzt aber kein Ärgernis mehr, sondern eine Fußnote. Bleibt offen, bis du das eine oder das andere sagst.

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: be-nj/castarr#23