Registrieren und Bestätigen

Worum es geht

Wer noch kein Konto hat, kann sich nicht anmelden. Für diese Menschen gibt es im Hub zwei öffentliche Seiten, die ohne Sitzung erreichbar sind:

• Registrieren unter /register: das Formular für die Selbstregistrierung.
• Bestätigen unter /registration/verify?token=…: die Seite, auf die der Link in der Mail zeigt.

Den Weg dorthin zeigt die Anmeldeseite des Hubs mit „Noch kein Konto? Registrieren“. Keycloak selbst bietet in der ausgelieferten Konfiguration keine Registrierung an, siehe Die Login-Seiten.

Der Ablauf

sequenceDiagram
    participant B as Browser
    participant F as BFF des Hubs
    participant C as CIAS
    participant M as E-Mail
    B->>F: GET /api/hub/registration/form
    F->>C: GET /cias/registration/flows/SELF_SERVICE/form
    C-->>F: Feldbeschreibung
    F-->>B: Felder + Challenge (signierter Zeitstempel)
    Note over B: Person füllt aus, setzt das Häkchen
    B->>F: POST /api/hub/registration/self
    F->>F: Falle, Challenge, E-Mail prüfen
    F->>C: POST /cias/registration/self
    C->>M: Mail mit Link
    C-->>F: 202 accepted
    F-->>B: „Prüfe dein Postfach“
    B->>F: öffnet /registration/verify?token=…
    F->>C: POST /cias/registration/verify
    C-->>F: 202 accepted
    F-->>B: Bestätigungstext

Beide Seiten sprechen CIAS ohne Token an. Der BFF benutzt dafür einen eigenen Weg, der nur Adressen unter /cias/registration/ erreichen darf. Genau diese Adressen gibt CIAS ohne Anmeldung frei.

Vom Feld zur Eingabe

GET /cias/registration/flows/SELF_SERVICE/form liefert je Feld Schlüssel, Typ, Pflicht, Höchstlänge und erlaubte Werte. Ein Prüfmuster (pattern) liefert CIAS absichtlich nicht mit: Es bleibt eine Regel des Servers.

GET /cias/registration/flows/SELF_SERVICE/form

[
  { "key": "email",       "type": "EMAIL",  "required": true,  "maxLength": 255, "allowedValues": [] },
  { "key": "firstName",   "type": "STRING", "required": false, "maxLength": 255, "allowedValues": [] },
  { "key": "lastName",    "type": "STRING", "required": false, "maxLength": 255, "allowedValues": [] },
  { "key": "company",     "type": "STRING", "required": true,  "maxLength": 255, "allowedValues": [] },
  { "key": "application", "type": "ENUM",   "required": false, "maxLength": 255, "allowedValues": ["hub"] }
]

So sieht die Antwort mit der Konfiguration aus hub-backend aus. Die Seite macht daraus:

Unter den Feldern steht ein Häkchen zur Einwilligung in die Verarbeitung der Angaben. Ohne Häkchen lässt sich das Formular nicht absenden. Leere freiwillige Felder schickt die Seite nicht mit. Als Sprache schickt sie de.

Lässt sich die Feldbeschreibung nicht laden, zeigt die Seite eine Fehlermeldung mit „Erneut versuchen“ statt eines leeren Formulars.

Absenden

Drei Begriffe aus dem Bild:

• Die Falle (englisch honeypot) ist ein Feld, das kein Mensch sieht: außerhalb des sichtbaren Bereichs, nicht per Tab erreichbar, für Screenreader verborgen. Ein Programm, das alle Felder ausfüllt, füllt auch dieses. Der BFF antwortet dann genau wie bei einer echten Registrierung, damit das Programm kein Signal bekommt.
• Die Challenge ist ein Zeitstempel mit Signatur, den der BFF beim Laden des Formulars ausgibt. Wer direkt an die Adresse schickt, ohne das Formular zu laden, hat keine gültige.
• Die Drosselung in CIAS zählt Versuche je Adresse und je Client. Den Client bestimmt der BFF selbst: Er setzt X-Forwarded-For auf den Eintrag, den der eigene Proxy geschrieben hat, und reicht keinen Wert des Browsers durch. Siehe Schutz der öffentlichen Endpunkte.

Die Ausprägungen

Die Seite Bestätigen

Den Pfad /registration/verify?token=… legt nicht der Hub fest, sondern CIAS: Es baut jeden Link in seinen Mails als {Basisadresse}/registration/verify?token=…. Die Basisadresse ist die Adresse, die ein Mensch im Browser erreicht, beim Hub die des Hub-Frontends. Deshalb landen auch Einladungslinks auf dieser Seite. Siehe E-Mail bestätigen.

Beim Öffnen löst die Seite das Token sofort ein, ohne Knopf. CIAS antwortet in jedem Erfolgsfall gleich mit 202, auch bei einem Link, der schon benutzt wurde. Welchen Satz die Seite danach zeigt, kann sie deshalb nicht aus der Antwort lesen. Sie fragt stattdessen die Regel der Installation ab: GET /api/hub/registration/policy sagt, ob eine Selbstregistrierung nach der Bestätigung noch freigegeben werden muss.

„Unbekannt“ heißt: Die Regel ließ sich nicht laden. Dann nimmt die Seite den Satz, der in beiden Fällen stimmt. Fehlt das Token ganz in der Adresse, zeigt sie „Der Link ist unvollständig“, ohne CIAS zu fragen. Ein unbekannter und ein abgelaufener Link sind für die Seite dasselbe: CIAS unterscheidet sie absichtlich nicht.

Der Wert für „Freigabe verlangt?“ kommt aus der Konfiguration des Hub-Frontends (CIAS_SELF_SERVICE_APPROVAL, zur Laufzeit NUXT_REGISTRATION_APPROVAL_REQUIRED). Es ist derselbe Schalter, den auch hub-backend für SELF_SERVICE liest. Leer heißt: keine Freigabe.

Fallen

Weiter

• Selbstregistrierung
• E-Mail bestätigen
• Freigabe durch einen Administrator
• Die Verwaltungsoberfläche (Warteschlange der Registrierungen)