Sicherheit und täglicher Betrieb - Google, GitHub und Facebook
Reihenfolge bei der Auflösung
Bei jeder Anmeldung über einen Anbieter prüft DockRay drei Dinge nacheinander: ob bereits eine Verknüpfung mit dieser Kennung bei diesem Anbieter existiert - falls ja, wird sofort angemeldet; falls nicht, ob ein Nutzer mit der zurückgegebenen E-Mail-Adresse existiert - falls ja und der Anbieter Adressen bestätigt, wird die Verknüpfung an dieses Konto angehängt; ist nichts davon der Fall, wird ein neues Mandantenkonto angelegt. Eine Verknüpfung wird über die Kennung beim Anbieter gesucht, nie über die E-Mail - eine Adresse kann man bei sich ändern, die Kennung ändert sich nie.
Nicht jeder Anbieter bestätigt die Adresse
Das Anhängen an ein bestehendes Konto über die E-Mail-Adresse ist nur bei einem Anbieter erlaubt, der Adressen tatsächlich bestätigt. Google und GitHub tun das - GitHub gibt die Hauptadresse des Kontos zurück. Facebook nicht: Seine Dokumentation garantiert das nicht, und eine Adresse lässt sich ins Profil eintragen, ohne den Zugriff auf dieses Postfach zu beweisen. Würde DockRay trotzdem über die Facebook-Adresse anknüpfen, genügte es, dort ein Profil mit einer fremden Adresse anzulegen, um in ein fremdes Konto zu gelangen. Deshalb endet eine Facebook-Anmeldung, die auf eine bestehende Adresse trifft, mit der Aufforderung, sich mit dem Passwort anzumelden, statt sich still anzuhängen - und ein auf diesem Weg neu angelegtes Konto durchläuft die normale E-Mail-Verifizierung, weil die Adresse noch nicht bestätigt ist.
Was ein auf diesem Weg angelegtes Konto bekommt
Das Passwort eines über die soziale Anmeldung angelegten Kontos ist zufällig und wird nirgends weitergegeben - der Weg zu einem eigenen Passwort führt über einen Reset, also über dasselbe Postfach. Die E-Mail-Adresse ist sofort bestätigt, wenn der Anbieter Adressen bestätigt (Google, GitHub); die Anmeldung über einen solchen Anbieter bestätigt die Adresse auch für jemanden, der sich per Formular registriert und nie auf den Verifizierungslink geklickt hat.
Soziale Anmeldung und der zweite Faktor
Hat ein Konto die Zwei-Faktor-Verifizierung aktiviert, umgeht eine Anmeldung über einen Anbieter sie nicht - nach der Rückkehr von Google, GitHub oder Facebook fragt DockRay genauso nach dem zweiten Faktor wie nach einer Passwortanmeldung. Der Anbieter beweist die Identität; ob diese Identität Zugang zum Panel bekommt, entscheidet ausschließlich DockRay.
Ein deaktivierter Nutzer und rotierende Schlüssel
Ein deaktiviertes Konto kann sich auf diesem Weg nicht anmelden, egal wie korrekt der Anbieter die Identität bestätigt hat - der Kontostatus wird unabhängig von der Anmeldemethode geprüft. Vermutest du, dass das Client-Secret eines Anbieters abgeflossen ist, erzeuge in dessen Entwicklerkonsole ein neues und trage es in den Plattformeinstellungen ein - bestehende Kontoverknüpfungen bleiben davon unberührt, denn sie sind an die Nutzerkennung beim Anbieter gebunden, nicht an das Anwendungs-Secret selbst.