Etappen

Wo es steht

• FertigM35, Lictor liefert seine Website aus — Lictor 0.1.0 mit Praxis v0.62.0, 13. Oktober. Die Seite unter / nennt Lictor; alles andere ist ein 404. In WebGlue fehlte nichts; zwei Fehler darunter wurden gefunden und in ihrer eigenen Schicht behoben.
• FertigM36, Registrierung per Einladungslink — Lictor 0.2.0 mit Praxis v0.63.0, 19. Oktober, veröffentlicht mit WebGlue 0.8.0 (Formular-Bodies, CSRF, Tailwind), shibboleth 0.1.0, posthorn 0.1.0 und prx 0.43.0.
• In ArbeitM37, Anmelden und angemeldet bleiben — in Arbeit. Zusammengeführt, aber nicht veröffentlicht: Base32 in der Standardbibliothek, ein zweiter Faktor in shibboleth (TOTP und Wiederherstellungscodes) und WebGlues OAuth2-Token-Server und Autorisierungsserver mit PKCE. Lictor selbst hat sich noch nicht geändert.
• GeplantM38, ein Twitch-Konto verknüpfen — über twitchy, den Twitch-Client, der nach Praxis portiert wird, wie die Etappen seine Endpunkte anfordern.
• GeplantM39, einen Kanal zum Moderieren wählen. M40, die Moderationsansicht: Live-Chat. M41, darin handeln.
• GeplantM42, Historie und Notizen. M43, Moderation im Team.
• GeplantM44, genug Plugin-Laufzeit, um sie zu beweisen, und mit ihr M44a, Logos in Praxis — so viel, wie M44 anfordert.
• GeplantM45, produktionsreif: jede Anforderung von Umfang eins erfüllt, und die Sicherheits- und Betriebsanforderungen bestanden.

Die nächste Etappe: Anmelden

Beschlossen am 19. Oktober. Eine Anmeldung ist ein Benutzername und ein Passwort, nie eine E-Mail-Adresse, gefolgt von einem zweiten Faktor, der für jede direkte Anmeldung Pflicht ist.

• OAuth2 jetzt, nicht später: Die Website ist ein Client von Lictors eigenem Autorisierungsserver, per Authorization Code mit PKCE, und der Token-Server stellt die Tokens aus. Angemeldet bleiben ist ein Refresh-Token, bei Gebrauch erneuert. Clients Dritter, Client Credentials, dynamische Registrierung und OIDC bleiben draußen.
• Der zweite Faktor ist TOTP, eingerichtet bei der ersten Anmeldung, mit zehn einmal nutzbaren Wiederherstellungscodes, einmal angezeigt und gehasht aufbewahrt. Keine SMS; WebAuthn später, daneben.
• Ein Access-Token lebt 15 Minuten; „angemeldet bleiben“ behält ein Refresh-Token 30 Tage, bei Gebrauch erneuert. Wiederholte Fehlschläge verlangsamen eine Anmeldung, verdoppelt bis zu einer Stunde, und sperren ein Konto nie aus.
• Die Tokens bleiben auf dem Server: Der Browser hält nur das Session-Cookie der Website, und kein Token ist je für ein Skript der Seite lesbar.

Ausprobieren

Noch nicht. Lictor braucht die Praxis-Toolchain, die nicht veröffentlicht ist, und sein Repository ist privat. Die Beta wird nur auf Einladung und kostenlos sein.