Inici de sessió i contrasenyes

Decideix com inicia la sessió la gent: la longitud de la contrasenya, un accés directe per a la xarxa de casa i l’inici de sessió des de fora. Només el propietari ho canvia, a Settings > Sign-in and security (Paràmetres > Inici de sessió i seguretat).

Fixa la contrasenya més curta

1. Obre Settings > Sign-in and security > Passwords (contrasenyes).
2. Escriu un número de 4 a 64. El valor per defecte és 8.
3. Clica a Save (desar). Hauries de veure que el número nou es manté després de recarregar.

El mínim s’aplica a cada contrasenya nova: la del primer propietari, les de les invitacions acceptades, els canvis a My account (el meu compte) i holyarrs reset-owner. Les contrasenyes existents segueixen funcionant fins al pròxim canvi. La contrasenya més llarga pot tenir 1024 caràcters.

Precaució

HolyArrs alenteix els inicis de sessió erronis repetits, però una contrasenya curta continua sent fàcil d’endevinar. Si pots arribar a HolyArrs des de fora de casa, fes servir 12 caràcters o més.

Salta l’inici de sessió a la meva xarxa local

Els dispositius de la teva xarxa de casa obren HolyArrs com a propietari, sense contrasenya. Està desactivat per defecte.

1. Obre Settings > Sign-in and security > Local network (xarxa local).
2. Llista les teves xarxes, una per línia, fins a 32. Fes servir un interval (192.168.1.0/24, fd00::/8) o una sola adreça (192.168.1.20).
3. Activa l’interruptor i desa. Hauries de veure la teva pròpia adreça a la targeta.

L’interruptor no es pot activar amb la llista buida, ni mentre existeixi algun compte per a nens. Crear claus d’API, canviar els paràmetres d’inici de sessió, llegir o substituir secrets i restaurar còpies de seguretat continuen demanant contrasenya.

Comprova primer l’adreça

Alguns entorns fan que tots els dispositius semblin una sola adreça de passarel·la: Docker Desktop, Docker o Podman en mode rootless, i Kubernetes NodePort. Les típiques són 172.17.0.1, 172.18.0.1 i següents, 10.88.0.1, 10.89.x.1, 10.0.2.2 i 192.168.65.x.

Si n’afegeixes una a la llista, qualsevol que arribi a HolyArrs entra com a propietari. La targeta t’avisa quan una entrada s’hi assembla. Obre la pàgina des d’un segon dispositiu: si mostra la mateixa adreça, desactiva l’interruptor i treu aquesta entrada.

Darrere d’un reverse proxy, HolyArrs només llegeix l’adreça reenviada dels proxies de HOLYARRS_TRUSTED_PROXIES. Si no, la targeta no mostra cap adreça i diu que el proxy no és de confiança.

Inici de sessió únic

Un proveïdor OpenID Connect pot iniciar la sessió de la gent. Es mostra com un botó a la pàgina d’inici de sessió.

1. Obre Settings > Sign-in and security > Single sign-on (inici de sessió únic).
2. Escriu l’emissor (issuer) del proveïdor i clica a Test (provar). No s’envia cap secret per a la prova.
3. Escriu l’id de client i el secret de client. Marca Public client (client públic) si el proveïdor no fa servir secret.
4. Copia l’Callback address (adreça de retorn) i registra aquesta adreça exacta al proveïdor.
5. Escriu la teva contrasenya, més el codi dels dos passos si en fas servir, i clica a Save. Cada canvi ho demana.

Després enllaça el teu propi compte: inicia la sessió amb la contrasenya, obre My account, a Linked sign-ins (inicis de sessió enllaçats) clica a Link (enllaçar), confirma la contrasenya i clica a Single sign-on.

Consell

Conserva una contrasenya de propietari que funcioni. Si el proveïdor cau, l’inici de sessió amb contrasenya continua funcionant.

Opcions

Deixa que gent nova s’uneixi amb l’inici de sessió únic

Està desactivat per defecte. Activat, qualsevol persona que el proveïdor faci entrar rep un compte, per això HolyArrs et demana que ho confirmis. Els nouvinguts s’uneixen com a membres que només poden demanar. L’inici de sessió únic mai crea un propietari ni un administrador.

Canvia l’emissor o l’id de client

Has d’escriure el secret una altra vegada. S’eliminen els enllaços antics i es tanca la sessió a tothom qui feia servir l’inici de sessió únic. Tornen a enllaçar-lo des de My account. Desactivar l’inici de sessió únic també els tanca la sessió.

Desenllaça un inici de sessió

• El teu: My account > Linked sign-ins > Unlink (desenllaçar). Cal una confirmació recent de la contrasenya, i es rebutja si és l’única manera que tens d’entrar.
• El de qualsevol altre: el propietari fa servir Settings > Users and roles (usuaris i rols). Si és l’única manera d’entrar de la persona, HolyArrs ho pregunta una vegada més.

Desenllaçar tanca la sessió dels dispositius que l’havien fet servir. Si deixes entrar gent nova, la mateixa persona pot tornar com a membre nou. Desactiva-ho per mantenir-la fora.

Si no funciona

Símptoma: HolyArrs et torna a demanar la contrasenya. Causa: els canvis a comptes, claus i paràmetres necessiten una confirmació de la contrasenya dels últims 10 minuts, més el codi dels dos passos si el fas servir. L’inici de sessió des de fora i l’accés directe de la xarxa local no compten. Solució: confirma amb la teva contrasenya. Tancar la sessió dels dispositius no ho demana mai.

Símptoma: ha fallat un retorn (callback) amb un error curt, i continues sense sessió. Causa: l’adreça de retorn del proveïdor no és la mateixa que la d’HolyArrs. Solució: copia Callback address una altra vegada i enganxa-la exactament al proveïdor.

Símptoma: un compte creat amb l’inici de sessió únic no pot definir una contrasenya. Causa: no és possible en aquesta versió. Solució: crea primer el propietari local i després enllaça-hi l’inici de sessió únic.

Símptoma: en tancar la sessió d’HolyArrs, la sessió al proveïdor ha continuat oberta. Causa: HolyArrs només tanca el seu propi inici de sessió. Solució: en un dispositiu compartit, tanca també la sessió al proveïdor.

Has perdut la contrasenya del propietari? Mira Sessions i contrasenyes.

Per a experts

Inici de sessió amb proxy de confiança

Si un reverse proxy ja fa iniciar la sessió a la gent, HolyArrs accepta el nom que li passa. Defineix-ho només a l’entorn. Es mostra com un botó a la pàgina d’inici de sessió; una visita mai inicia la sessió de ningú només amb capçaleres.

• El proxy elimina els Remote-User i Remote-Name que arriben i defineix els seus després de l’inici de sessió.
• Remote-User: un nom estable, com a màxim 255 bytes. Remote-Name: nom per mostrar opcional, com a màxim 200 bytes.
• Es rebutgen els valors repetits, units amb comes o amb caràcters de control. Les capçaleres de rol s’ignoren.

Fes que HolyArrs només sigui accessible a través d’aquest proxy. Confiar en l’adreça d’un proxy vol dir confiar en tots els noms que envia. Enllaça’l a un compte des de My account > Link trusted proxy sign-in (enllaçar l’inici de sessió amb proxy de confiança).

Variables d'entorn

Defineix-les abans d’iniciar. Els dos mètodes estan desactivats tret que els activis. Una configuració errònia impedeix que HolyArrs s’iniciï; una caiguda del proveïdor deixa l’inici de sessió amb contrasenya funcionant. Si HOLYARRS_OIDC_ENABLED està definit, fins i tot amb false, l’entorn mana sobre l’inici de sessió únic i Paràmetres només el mostra.

Variable	Què fa	Per defecte
HOLYARRS_OIDC_ENABLED	Activa l’inici de sessió únic	false
HOLYARRS_OIDC_ISSUER	Emissor HTTPS exacte del proveïdor	cap
HOLYARRS_OIDC_CLIENT_ID	Id de client registrat	cap
HOLYARRS_OIDC_CLIENT_SECRET_FILE	Fitxer amb el secret de client, com a màxim 4096 bytes. Deixa-ho fora per a un client públic	cap
HOLYARRS_OIDC_REDIRECT_URL	Retorn HTTPS exacte: la teva adreça, l’URL base si n’hi ha, i després /api/v1/auth/oidc/callback	cap
HOLYARRS_OIDC_ALLOW_JOIN	La gent nova s’uneix com a membres que només poden demanar	false
HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK	Permet un proveïdor a la teva xarxa privada	false
HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP	Permet HTTP sense xifrar a loopback, per fer proves	false
HOLYARRS_FORWARD_AUTH_ENABLED	Activa l’inici de sessió amb proxy de confiança	false
HOLYARRS_FORWARD_AUTH_ISSUER	Nom HTTPS estable per a aquest proxy. Un valor nou compta com una font nova	cap
HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS	Adreces o intervals de proxies separats per comes. Obligatori. Un interval que cobreixi totes les adreces es rebutja	cap
HOLYARRS_FORWARD_AUTH_ALLOW_JOIN	Els noms de proxy nous s’uneixen com a membres que només poden demanar	false

Els dos paràmetres ALLOW_LOCAL_NETWORK i ALLOW_LOOPBACK_HTTP també s’apliquen a l’inici de sessió únic configurat a Paràmetres.

Com funciona l'inici de sessió únic

• El proveïdor ha de ser compatible amb l’inici de sessió per codi d’autorització amb PKCE S256 i tokens RS256, amb tots els endpoints a l’origen de l’emissor.
• Els comptes es corresponen per l’id de compte propi del proveïdor, mai per l’email.
• Els rols i grups del proveïdor no es fan servir.
• El secret de client es desa xifrat i no es torna a mostrar mai. Deixa el camp buit per conservar-lo.

Relacionat

• Usuaris i rols
• Sessions i contrasenyes
• Comptes per a nens
• URL base i reverse proxy