feat(security): Scanner-sichere Zwischenseite für Magic Links, Rate Limiting & Bot-Schutz #5

Merged

andre merged 2 commits from a4/scanner-safety-and-rate-limiting into main

2026-09-27 10:07:31 +02:00

andre commented

2026-09-27 10:03:29 +02:00

Owner

Zusammenfassung

Punkt 1 (Virenscanner-Schutz für Magic Links):
- GET /auth/verify: Token wird nicht mehr direkt konsumiert, sondern non-destruktiv validiert (verifyMagicLinkToken). Liefert eine brandkonforme HTML-Zwischenseite (renderVerifyPage) mit Bestätigungsformular.
- Verhindert, dass automatisierte Scanner (Microsoft Defender Safelinks, Google Workspace) den Single-Use-Token per GET-Prefetch vorzeitig entwerten.
- POST /auth/verify: Erst das Absenden des Formulars (oder JSON-POST) ruft redeemMagicLinkToken auf, konsumiert den Token und setzt das HttpOnly-Session-Cookie (__Host-ks_partner_session).
Punkt 3 (Rate-Limiting & Bot-Schutz):
- Neuer zero-dependency Sliding-Window Limiter MemoryRateLimiter (src/core/security/rate-limiter.js) mit unref-Bereinigungstimer.
- GET /api/partners/match: Rate Limit (60 req/min pro IP) + strikte 5-stellige PLZ-Validierung (/^\d{5}$/).
- POST /api/partners/onboard: Rate Limit (5 req/15 min pro IP) + Honeypot-Erkennung (website_hp, hp_confirm, fax_field).
- POST /auth/verify: Rate Limit (15 req/5 min pro IP) gegen Token-Bruteforce.
Punkt 4 (Legacy API-Parität & Drift-Schutz):
- public/api.php mit X-API-Deprecation und X-Canonical-API markiert und alle eingehenden Requests per HTTP 307 direkt auf das Node.js Backend unter https://partner.kurvenschule.cloud weitergeleitet.
Tests:
- 42/42 Contract- & Integration-Tests grün (inkl. Scanner-Prefetch-Simulation, POST-Redemption, PLZ-Validierung, Honeypot und Rate-Limiting).

## Zusammenfassung 1. **Punkt 1 (Virenscanner-Schutz für Magic Links):** - `GET /auth/verify`: Token wird nicht mehr direkt konsumiert, sondern non-destruktiv validiert (`verifyMagicLinkToken`). Liefert eine brandkonforme HTML-Zwischenseite (`renderVerifyPage`) mit Bestätigungsformular. - Verhindert, dass automatisierte Scanner (Microsoft Defender Safelinks, Google Workspace) den Single-Use-Token per GET-Prefetch vorzeitig entwerten. - `POST /auth/verify`: Erst das Absenden des Formulars (oder JSON-POST) ruft `redeemMagicLinkToken` auf, konsumiert den Token und setzt das HttpOnly-Session-Cookie (`__Host-ks_partner_session`). 2. **Punkt 3 (Rate-Limiting & Bot-Schutz):** - Neuer zero-dependency Sliding-Window Limiter `MemoryRateLimiter` (`src/core/security/rate-limiter.js`) mit unref-Bereinigungstimer. - `GET /api/partners/match`: Rate Limit (60 req/min pro IP) + strikte 5-stellige PLZ-Validierung (`/^\d{5}$/`). - `POST /api/partners/onboard`: Rate Limit (5 req/15 min pro IP) + Honeypot-Erkennung (`website_hp`, `hp_confirm`, `fax_field`). - `POST /auth/verify`: Rate Limit (15 req/5 min pro IP) gegen Token-Bruteforce. 3. **Punkt 4 (Legacy API-Parität & Drift-Schutz):** - `public/api.php` mit `X-API-Deprecation` und `X-Canonical-API` markiert und alle eingehenden Requests per HTTP 307 direkt auf das Node.js Backend unter `https://partner.kurvenschule.cloud` weitergeleitet. 4. **Tests:** - 42/42 Contract- & Integration-Tests grün (inkl. Scanner-Prefetch-Simulation, POST-Redemption, PLZ-Validierung, Honeypot und Rate-Limiting).

andre added 1 commit

2026-09-27 10:03:29 +02:00