Zwei-Faktor, Passkeys und Sitzungen

Zwei-Faktor mit App

Unter Konto → Profil & Sicherheit schaltest du bei Zwei-Faktor-Anmeldung mit Einrichten TOTP ein: QR-Code mit einer Authenticator-App scannen (oder den Schlüssel eintippen), den Code aus der App eingeben und Bestätigen. Direkt danach zeigen wir dir Wiederherstellungscodes.

Ausschalten geht an derselben Stelle, mit Passwort und einem Code aus der App. Einen eigenen Knopf für neue Wiederherstellungscodes hat das Dashboard im Moment nicht: Schalte Zwei-Faktor aus und wieder ein, dann bekommst du neue Codes.

Passkeys

Mit einem Passkey meldest du dich ohne Passwort an: Face ID, Windows Hello, Fingerabdruck oder ein Sicherheitsschlüssel. Auf der Login-Seite klickst du dafür auf Mit Passkey anmelden. Ein Passkey ist an die Domain gebunden: einer, der für citexnode.com angelegt wurde, gilt nur dort.

Anlegen kannst du einen Passkey unter Konto im Bereich Passkeys: optional einen Namen eingeben (z. B. Laptop), auf Passkey hinzufügen klicken und die Abfrage deines Geräts bestätigen. Dort benennst du Passkeys auch um oder entfernst sie. Den letzten Weg ins Konto lässt das Dashboard nicht entfernen: Hast du kein Passwort und nur einen Passkey, leg vorher ein Passwort fest.

Anmeldung über Discord und andere Anbieter

Auf der Login-Seite stehen Knöpfe wie Weiter mit Discord für die Anbieter, die gerade eingerichtet sind. Verknüpfen heißt: dieselbe Person, ein Konto. Eine Seite, um Anbieter nachträglich zu verknüpfen oder die Verknüpfung zu lösen, hat das neue Dashboard im Moment nicht; schreib dafür ein Ticket.

API-Tokens

Für Skripte und Monitoring legst du unter Konto → API-Tokens mit Neues Token ein persönliches Token an: Name, Rechte (Nur lesen oder Lesen & Schreiben) und wie lange es Gültig ist (30 Tage, 90 Tage, 1 Jahr oder ohne Ablauf). Das Token wird genau einmal angezeigt, kopier es sofort. Höchstens 10 Tokens sind gleichzeitig aktiv.

Tokens dürfen Dienste lesen und steuern, aber nie Konto, Geld, Bestellungen, Löschen oder Zugangsdaten. Widerrufen macht ein Token sofort ungültig. Mehr in API und Statusseite einbinden.

Sitzungen

Jede Anmeldung erzeugt eine Sitzung. Unter Konto → Profil & Sicherheit → Angemeldete Geräte siehst du sie alle mit Gerät, IP-Adresse und letztem Zugriff. Einzelne beendest du mit Abmelden. Ein Passwortwechsel unter Passwort ändern beendet alle anderen Sitzungen, die aktuelle bleibt.

Wird ein alter Anmeldezustand ein zweites Mal benutzt, beenden wir die ganze Kette automatisch. Das ist der Fall, der nach einem gestohlenen Token aussieht, und lieber melden wir uns einmal zu oft ab.

Login-Mails

Bei einer Anmeldung schicken wir eine Mail mit einem Link. Warst du das nicht, öffnest du ihn und landest auf der Seite „Warst du das nicht?“: Nur dieses Gerät abmelden beendet die Anmeldung aus der Mail, Alle Geräte abmelden beendet alle Sitzungen deines Kontos. Setz danach am besten ein neues Passwort und schalte die Zwei-Faktor-Anmeldung ein.

Support-PIN

Früher stand auf der Dashboard-Übersicht ein Support-PIN. Das neue Dashboard zeigt ihn nicht mehr an. Schreib Anfragen zu deinem Konto deshalb als Ticket aus dem Dashboard, dann ist klar, dass sie aus deinem Konto kommen.