[MEDIUM] MAS account page: direct link to 2FA/Passkey setup #13

New Issue

2026-07-28T14:31:48Z

sorb commented

2026-07-28 14:31:48 +00:00

2FA/Passkey self-service setup links (default-authenticator-totp-setup / -webauthn-setup) are currently only discoverable via axion1337.chat/docs/setup/security.html, not on the actual account page (account.axion1337.chat/account/) users would expect to find them on.

MAS's branding config only exposes fixed policy_uri/tos_uri/imprint fields, not a free-form link. Putting the link directly on the account page requires a MAS custom Tera/Askama template override (templates.path) - forking MAS's upstream template files, more effort/risk than the docs-page workaround, and needs maintenance across MAS version bumps. Deferred in favor of the docs page for now.

2FA/Passkey self-service setup links (`default-authenticator-totp-setup` / `-webauthn-setup`) are currently only discoverable via `axion1337.chat/docs/setup/security.html`, not on the actual account page (`account.axion1337.chat/account/`) users would expect to find them on. MAS's `branding` config only exposes fixed `policy_uri`/`tos_uri`/`imprint` fields, not a free-form link. Putting the link directly on the account page requires a MAS custom Tera/Askama template override (`templates.path`) - forking MAS's upstream template files, more effort/risk than the docs-page workaround, and needs maintenance across MAS version bumps. Deferred in favor of the docs page for now.

sorb added the priority:medium area:authentik labels 2026-07-28 14:31:48 +00:00

sorb referenced this issue from a commit

2026-07-28 14:34:16 +00:00

docs: Migrate backlog to Gitea issues, remove stale completed items

sorb commented

2026-07-29 18:29:20 +00:00

Update 2026-07-29 - dritte Option gefunden: Element Web hat bereits einen eingebauten Mechanismus fuer externe Kontoverwaltung (externalAccountManagementUrl, OIDC-Standard, sichtbar in apps/web/src/components/views/settings/tabs/user/AccountUserSettingsTab.tsx) - zeigt bereits einen "Konto verwalten"-Link zu MAS in den Element-Web-Settings an. Client-seitiger Deep-Link zur 2FA/Passkey-Einrichtung waere darueber potenziell moeglich, ohne MAS-Templates zu forken.

ABER: default-authenticator-totp-setup/-webauthn-setup sind laut Namenskonvention Authentik-eigene Flow-Stages, nicht MAS-Seiten - MAS delegiert die eigentliche 2FA-Verwaltung an Authentik als Upstream-SSO. Der richtige Zielort waere vermutlich Authentiks eigene Nutzer-Settings-Seite, nicht MAS direkt. Ob MAS zielgerichtete Deep-Links (z.B. ?action=...) an Authentik durchreicht, ist noch nicht verifiziert - braeuchte einen echten Test, bevor entschieden wird, ob dieses Issue in ThreadNet-Web (Client-Aenderung) umzieht oder hier (MAS/Authentik-Config) bleibt.

**Update 2026-07-29** - dritte Option gefunden: Element Web hat bereits einen eingebauten Mechanismus fuer externe Kontoverwaltung (`externalAccountManagementUrl`, OIDC-Standard, sichtbar in `apps/web/src/components/views/settings/tabs/user/AccountUserSettingsTab.tsx`) - zeigt bereits einen "Konto verwalten"-Link zu MAS in den Element-Web-Settings an. Client-seitiger Deep-Link zur 2FA/Passkey-Einrichtung waere darueber potenziell moeglich, ohne MAS-Templates zu forken. ABER: `default-authenticator-totp-setup`/`-webauthn-setup` sind laut Namenskonvention Authentik-eigene Flow-Stages, nicht MAS-Seiten - MAS delegiert die eigentliche 2FA-Verwaltung an Authentik als Upstream-SSO. Der richtige Zielort waere vermutlich Authentiks eigene Nutzer-Settings-Seite, nicht MAS direkt. Ob MAS zielgerichtete Deep-Links (z.B. `?action=...`) an Authentik durchreicht, ist noch nicht verifiziert - braeuchte einen echten Test, bevor entschieden wird, ob dieses Issue in ThreadNet-Web (Client-Aenderung) umzieht oder hier (MAS/Authentik-Config) bleibt.

sorb commented

2026-07-29 18:35:19 +00:00

Update 2026-07-29 - umgezogen nach ThreadNet-Web#4

OIDC-Deep-Link-Weg live getestet und verworfen (MAS unterstuetzt keine 2FA/TOTP/Passkey-Action, nur profile/devices/sessions/cross_signing_reset - siehe Kommentar oben). Die richtige Loesung ist eine einfache, direkte Verlinkung im Client (Element Web), kein MAS-Template-Fork und kein OIDC-Mechanismus. Wird ab jetzt in ThreadNet-Web#4 nachgehalten, da es sich um eine Client-Aenderung handelt, nicht um gitops/Infra.

**Update 2026-07-29 - umgezogen nach [ThreadNet-Web#4](https://rohana.axion1337.de/sorb/ThreadNet-Web/issues/4)** OIDC-Deep-Link-Weg live getestet und verworfen (MAS unterstuetzt keine 2FA/TOTP/Passkey-Action, nur profile/devices/sessions/cross_signing_reset - siehe Kommentar oben). Die richtige Loesung ist eine einfache, direkte Verlinkung im Client (Element Web), kein MAS-Template-Fork und kein OIDC-Mechanismus. Wird ab jetzt in ThreadNet-Web#4 nachgehalten, da es sich um eine Client-Aenderung handelt, nicht um gitops/Infra.

sorb closed this issue

2026-07-29 18:35:19 +00:00

sorb referenced this issue from a commit

2026-07-29 18:36:03 +00:00

docs: close Issue #13, moved to ThreadNet-Web#4 (client-side 2FA link)

sorb commented

2026-08-01 14:25:59 +00:00

Migriert nach git.lab: axion1337.chat/axion1337.chat-gitops#13 (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.

**Migriert nach git.lab**: [axion1337.chat/axion1337.chat-gitops#13](https://git.lab/axion1337.chat/axion1337.chat-gitops/-/issues/13) (nur im Lab bzw. via VPN erreichbar — das Lab ist seit 2026-08-01 die Quelle der Wahrheit, siehe gitops#48). Weiterarbeit dort; dieses Gitea-Issue bleibt als Verweis stehen.

sorb referenced this issue from a commit

2026-08-09 14:00:51 +00:00

docs: Migrate backlog to Gitea issues, remove stale completed items

sorb referenced this issue from a commit

2026-08-09 14:00:52 +00:00

docs: close Issue #13, moved to ThreadNet-Web#4 (client-side 2FA link)

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: sorb/axion1337.chat-gitops#13