Actualize: Passkey Login

Actualize: Passkey Login ergänzt Shopware 6 um die Anmeldung mit Passkeys auf Basis von WebAuthn. Sowohl Kunden in der Storefront als auch Benutzer der Shopware-Administration können sich damit ohne Passworteingabe anmelden. Der bestehende Passwort-Login bleibt als zusätzliche Anmeldemöglichkeit erhalten.

Die Einrichtung erfolgt durch die Kontoinhaber selbst: Nach der Anmeldung registrieren sie einen Passkey im Kundenkonto oder im eigenen Administrationsprofil und bestätigen diesen Vorgang mit ihrem Passwort. Anschließend steht die Passkey-Anmeldung auf der jeweiligen Anmeldeseite zur Verfügung. Unterstützte auffindbare Zugangsdaten ermöglichen dabei eine Anmeldung ohne vorherige Eingabe eines Benutzernamens.

Kunden und Administrationsbenutzer können ihre eigenen Passkeys registrieren, umbenennen und entfernen. Berechtigte Administratoren dürfen außerdem Passkeys anderer Benutzer und Kunden widerrufen, jedoch nicht für diese erstellen. Kunden- und Administrations-Passkeys bleiben strikt voneinander getrennt: Ein Kunden-Passkey kann keinen Zugang zur Administration gewähren.

Die Erweiterung berücksichtigt Shops mit mehreren Storefront-Domains. Jeder Passkey ist an die Domain gebunden, auf der er erstellt wurde. Diese Domainbindung ist zugleich ein wesentlicher Bestandteil des Phishing-Schutzes der WebAuthn-Anmeldung.

FUNKTIONSUMFANG IM ÜBERBLICK

• Passwortlose Passkey-Anmeldung für Storefront-Kunden.
• Passkey-Anmeldung für Benutzer der Shopware-Administration.
• WebAuthn-basierte, phishing-resistente Authentifizierung.
• Anmeldung ohne Benutzernameneingabe mit auffindbaren Zugangsdaten.
• Eigene Passkeys im Kundenkonto oder Administrationsprofil registrieren, umbenennen und entfernen.
• Passwortbestätigung bei der Verwaltung eigener Passkeys.
• Widerruf fremder Kunden- und Administrations-Passkeys durch entsprechend berechtigte Administratoren.
• Strikte Trennung zwischen Kunden- und Administrationszugängen.
• Domaingebundene Passkeys für Shops mit mehreren Storefront-Domains.
• Anzeige der letzten erfolgreichen Nutzung eines Passkeys.
• Kennzeichnung möglicherweise geklonter Passkeys bei auffälligen Signaturzählern unterstützter Authenticatoren.
• Protokollierung administrativer Widerrufe und diagnostischer Ereignisse.
• Weiterhin nutzbare Anmeldung mit Passwort.

Actualize: Passkey Login eignet sich für Shopbetreiber, die Kunden und ihrem Administrationsteam eine zusätzliche, passwortlose Anmeldemöglichkeit anbieten möchten, ohne den vorhandenen Passwort-Login abzuschaffen.

WICHTIGER HINWEIS

Laut Projektdokumentation ist die Erweiterung für Shopware 6.7.x vorgesehen und benötigt PHP 8.4 oder höher. Für die Passkey-Funktionen sind eine abgedeckte HTTPS-Domain sowie ein Browser mit WebAuthn-Unterstützung erforderlich. Auf nicht abgedeckten Domains oder ohne entsprechende Browserunterstützung bleibt das normale Passwortformular verfügbar.

Für Benutzer, die sich über SSO an der Administration anmelden, ist die Verwaltung eigener Passkeys nicht verfügbar, da hierfür eine Passwortbestätigung erforderlich ist. Auch der Widerruf von Passkeys anderer Administrationsbenutzer ist über eine SSO-Anmeldung eingeschränkt. Bei ausschließlich über SSO erlaubter Administrationsanmeldung ist die Passkey-Anmeldung ebenfalls nicht verfügbar.

In Installationen mit mehreren Anwendungsservern müssen der Challenge-Cache und die für die Einmalverwendung erforderlichen Sperren gemeinsame Speicher verwenden. Die standardmäßige lokale Dateisystemkonfiguration reicht für einen solchen Clusterbetrieb nicht aus.

Ein Passwort-Reset entfernt bestehende Passkeys nicht. Bei einem kompromittierten Konto müssen verdächtige Passkeys daher gesondert widerrufen werden. Die Erkennung möglicherweise geklonter Passkeys greift nur bei Authenticatoren mit entsprechendem Signaturzähler; synchronisierte Passkeys ohne diesen Zähler werden nicht auf diese Weise gekennzeichnet.

OPEN-SOURCE- UND LIZENZHINWEIS

Dieses Plugin basiert auf dem Open-Source-Projekt ActPasskey von Actualize und wird über unsere Plattform bereitgestellt. Soweit nicht anders angegeben, erfolgt die Bereitstellung dieses Plugins auf Grundlage der MIT-Lizenz. Der ursprüngliche Copyright-Hinweis sowie der vollständige Lizenztext sind bei der Weitergabe im Plugin-Paket unverändert beizubehalten.

Copyright (c) Actualize

Die Software wird „wie besehen“ und ohne Gewährleistung jeglicher Art bereitgestellt, soweit gesetzlich zulässig. Maßgeblich sind die Lizenzbedingungen der MIT-Lizenz. Den vollständigen Lizenztext finden Sie im Plugin-Paket sowie unter: https://github.com/actualizer/ActPasskey/blob/main/LICENSE.