Login e senhas

Configuração

Decida como as pessoas entram: tamanho da senha, um atalho para a rede de casa e login externo. Só o Dono muda essas configurações, em Settings > Sign-in and security (Configurações > Login e segurança).

Definir o tamanho mínimo da senha

Abra Settings > Sign-in and security > Passwords (senhas).
Digite um número de 4 a 64. O padrão é 8.
Clique em Save (salvar). Você deve ver o novo número continuar lá depois de recarregar a página.

O mínimo vale para toda senha nova: o primeiro Dono, convites aceitos, trocas em My account (minha conta) e holyarrs reset-owner. As senhas que já existem continuam funcionando até a próxima troca. A senha mais longa tem 1024 caracteres.

Os dispositivos da sua rede de casa abrem o HolyArrs como o Dono, sem senha. Desativado por padrão.

Abra Settings > Sign-in and security > Local network (rede local).
Liste suas redes, uma por linha, até 32. Use uma faixa (192.168.1.0/24, fd00::/8) ou um endereço só (192.168.1.20).
Ative a chave e salve. Você deve ver seu próprio endereço no cartão.

A chave não pode ficar ativada com a lista vazia, nem enquanto existir alguma Conta infantil. Criar chaves de API, mudar as configurações de login, ler ou trocar segredos e restaurar backups ainda pedem senha.

Confira o endereço antes

Algumas instalações fazem todos os dispositivos parecerem um único endereço de gateway: Docker Desktop, Docker ou Podman em modo rootless e Kubernetes NodePort. Os mais comuns são 172.17.0.1, 172.18.0.1 em diante, 10.88.0.1, 10.89.x.1, 10.0.2.2 e 192.168.65.x.

Se você listar um desses, qualquer pessoa que alcance o HolyArrs entra como o Dono. O cartão avisa quando uma entrada parece ser um deles. Abra a página em um segundo dispositivo: se ela mostrar o mesmo endereço, desative a chave e remova essa entrada.

Atrás de um proxy reverso, o HolyArrs lê o endereço encaminhado só dos proxies que estão em HOLYARRS_TRUSTED_PROXIES. Caso contrário, o cartão não mostra endereço e diz que o proxy não é confiável.

Um provedor OpenID Connect pode fazer o login das pessoas. Ele aparece como um botão na página de login.

Abra Settings > Sign-in and security > Single sign-on (login único).
Digite o emissor do provedor e clique em Test (testar). O teste não envia nenhum segredo.
Digite o id do cliente e o segredo do cliente. Marque Public client (cliente público) se o provedor não usa segredo.
Copie o Callback address (endereço de retorno) e registre exatamente esse endereço no provedor.
Digite sua senha, mais um código de duas etapas se você usa, e clique em Save. Toda mudança pede isso.

Depois vincule sua própria conta: entre com sua senha, abra My account, em Linked sign-ins (logins vinculados) clique em Link (vincular), confirme sua senha e clique em Single sign-on.

Opções

Desativado por padrão. Ativado, qualquer pessoa que o provedor autentique ganha uma conta, por isso o HolyArrs pede sua confirmação. Quem chega entra como Membro que só pode pedir. O login único nunca cria um Dono ou Administrador.

Mudar o emissor ou o id do cliente

Você digita o segredo de novo. O HolyArrs remove os vínculos antigos e encerra o login de todo mundo que usava o login único. Cada pessoa vincula de novo em My account. Desativar o login único também encerra o login dessas pessoas.

O seu: My account > Linked sign-ins > Unlink (desvincular). Precisa de uma confirmação de senha recente, e o HolyArrs recusa se for sua única forma de entrar.
O de qualquer pessoa: o Dono usa Settings > Users and roles (Configurações > Usuários e funções). Se for a única forma de a pessoa entrar, o HolyArrs pergunta mais uma vez.

Desvincular encerra o login nos dispositivos que usavam esse vínculo. Se a entrada de pessoas novas estiver aberta, a mesma pessoa pode voltar como um Membro novo. Desative a entrada de pessoas novas para manter essa pessoa fora.

Se não funcionar

Sintoma: o HolyArrs pede sua senha de novo. Causa: mudanças em contas, chaves e configurações precisam de uma confirmação de senha feita nos últimos 10 minutos, mais o código de duas etapas, se estiver configurado. O login externo e o atalho da rede local não contam. Solução: confirme com sua senha. Sair e encerrar dispositivos nunca pedem senha.

Sintoma: um retorno falhou com um erro curto, e você continua sem entrar. Causa: o endereço de retorno no provedor é diferente do endereço do HolyArrs. Solução: copie o Callback address de novo e cole exatamente igual no provedor.

Sintoma: uma conta criada pelo login único não consegue definir uma senha. Causa: não é possível nesta versão. Solução: crie primeiro o Dono local, depois vincule o login único a ele.

Sintoma: você saiu do HolyArrs, mas continuou conectado no provedor. Causa: o HolyArrs encerra só o próprio login. Solução: em um dispositivo compartilhado, saia também do provedor.

Perdeu a senha do Dono? Veja Sessões e senhas.

Para especialistas

Se um proxy reverso já faz o login das pessoas, o HolyArrs aceita o nome que o proxy repassa. Configure isso só no ambiente. Ele aparece como um botão na página de login; uma visita nunca faz o login de ninguém só pelos cabeçalhos.

O proxy remove os Remote-User e Remote-Name que chegam e define os seus depois do login.
Remote-User: um nome estável, com no máximo 255 bytes. Remote-Name: nome de exibição opcional, com no máximo 200 bytes.
O HolyArrs recusa valores repetidos, unidos por vírgula ou com caracteres de controle. Cabeçalhos de função são ignorados.

Mantenha o HolyArrs acessível só por esse proxy. Confiar no endereço de um proxy é confiar em todo nome que ele envia. Vincule a uma conta em My account > Link trusted proxy sign-in (vincular login por proxy confiável).

Variáveis de ambiente

Defina estas variáveis antes de iniciar. Os dois métodos ficam desativados até você ativar. Uma configuração errada impede o HolyArrs de iniciar; se o provedor cair, o login com senha continua funcionando. Se HOLYARRS_OIDC_ENABLED estiver definida, mesmo como false, o ambiente passa a controlar o login único e as Configurações só mostram os valores.

Variável	O que faz	Padrão
`HOLYARRS_OIDC_ENABLED`	Ativa o login único	`false`
`HOLYARRS_OIDC_ISSUER`	Emissor HTTPS exato do provedor	nenhum
`HOLYARRS_OIDC_CLIENT_ID`	Id do cliente registrado	nenhum
`HOLYARRS_OIDC_CLIENT_SECRET_FILE`	Arquivo com o segredo do cliente, com no máximo 4096 bytes. Deixe de fora para um cliente público	nenhum
`HOLYARRS_OIDC_REDIRECT_URL`	Retorno HTTPS exato: seu endereço, a URL base se houver, depois `/api/v1/auth/oidc/callback`	nenhum
`HOLYARRS_OIDC_ALLOW_JOIN`	Pessoas novas entram como Membros que só podem pedir	`false`
`HOLYARRS_OIDC_ALLOW_LOCAL_NETWORK`	Permite um provedor na sua rede privada	`false`
`HOLYARRS_OIDC_ALLOW_LOOPBACK_HTTP`	Permite HTTP simples em loopback, para testes	`false`
`HOLYARRS_FORWARD_AUTH_ENABLED`	Ativa o login por proxy confiável	`false`
`HOLYARRS_FORWARD_AUTH_ISSUER`	Nome HTTPS estável para este proxy. Um valor novo conta como uma origem nova	nenhum
`HOLYARRS_FORWARD_AUTH_TRUSTED_PEERS`	Endereços ou faixas de proxy separados por vírgula. Obrigatório. Uma faixa com todos os endereços é recusada	nenhum
`HOLYARRS_FORWARD_AUTH_ALLOW_JOIN`	Nomes novos vindos do proxy entram como Membros que só podem pedir	`false`

As duas configurações ALLOW_LOCAL_NETWORK e ALLOW_LOOPBACK_HTTP também valem para o login único configurado nas Configurações.

Como o login único funciona

O provedor precisa aceitar login por código de autorização com PKCE S256 e tokens RS256, com todos os endpoints na origem do emissor.
As contas são associadas pelo id de conta do próprio provedor, nunca pelo e-mail.
O HolyArrs não usa as funções e os grupos do provedor.
O HolyArrs guarda o segredo do cliente criptografado e nunca mostra o segredo de novo. Deixe o campo vazio para manter o segredo.

Relacionados

O HolyArrs é gratuito. Se ele poupou seu tempo, dê uma estrela no GitHub, patrocine o projeto ou me pague um café.