diff --git a/apps/authentik/authentik-blueprints.yaml b/apps/authentik/authentik-blueprints.yaml
index f168411..2f8f8e1 100644
--- a/apps/authentik/authentik-blueprints.yaml
+++ b/apps/authentik/authentik-blueprints.yaml
@@ -193,13 +193,33 @@ data:
         attrs:
           stage: !Find [authentik_stages_redirect.redirectstage, [name, matrix-invitation-redirect]]
 
-      # Wire the "Forgot password?" link on the real login flow used by MAS
+      # Wire the "Forgot password?" link on the real login flow used by MAS.
+      #
+      # ⚠️ Hier reicht recovery_flow allein NICHT. Der Serializer validiert das
+      # ganze Objekt, nicht nur die angegebenen Felder - ohne user_fields faellt
+      # er mit "When no user fields are selected, at least one source must be
+      # selected". Das war die eigentliche Ursache von gitops#60; sichtbar wurde
+      # sie erst, nachdem die !KeyOf-Verweise weg waren (die haben die Meldung
+      # ueberdeckt).
+      #
+      # Die uebrigen Felder stehen bewusst mit drin, obwohl sie den Model-Defaults
+      # entsprechen: Was der Serializer nicht bekommt, setzt er auf den Default
+      # zurueck. Ein Blueprint, der nur ein Feld nennt, kann so still andere
+      # Einstellungen kippen. Werte sind der Stand aus der Datenbank.
       - model: authentik_stages_identification.identificationstage
         state: present
         identifiers:
           name: default-authentication-identification
         attrs:
           recovery_flow: !Find [authentik_flows.flow, [slug, matrix-recovery]]
+          user_fields:
+            - email
+            - username
+          case_insensitive_matching: true
+          show_matched_user: true
+          pretend_user_exists: true
+          show_source_labels: false
+          enable_remember_me: false
   matrix-mfa-setup-redirect.yaml: |
     # yaml-language-server: $schema=https://goauthentik.io/blueprints/schema.json
     version: 1