Authentifizierung und E-Mail

Kontomails, MFA und Wiederherstellung konfigurieren

Auth-E-Mails gehören zu Supabase/GoTrue. Resend-Anwendungsbenachrichtigungen konfigurieren weder Bestätigung noch Passwortwiederherstellung. Behalten Sie bei full das minddy-Overlay in jedem Compose-Aufruf. Setzen Sie SITE_URL, API_EXTERNAL_URL, SUPABASE_PUBLIC_URL und ADDITIONAL_REDIRECT_URLS auf Ihre Origins. Konfigurieren Sie SMTP_ADMIN_EMAIL, SMTP_HOST, SMTP_PORT, SMTP_USER, SMTP_PASS und SMTP_SENDER_NAME mit Ihrem Anbieter. Das Overlay setzt auch die Sitzungsgrenzen: GOTRUE_SESSIONS_TIMEBOX ist 8760h (ein Jahr) und GOTRUE_SESSIONS_INACTIVITY_TIMEOUT ist 720h (30 Tage). Lassen Sie Bestätigung eingeschaltet und starten Sie Auth im installierten Compose-Kontext neu.

Definieren Sie vor den folgenden compose-Befehlen die Funktion für das installierte full-Profil aus dem Referenzkontext für Compose.

compose up -d --wait auth

Managed Supabase konfigurieren

Setzen Sie in Authentication Ihres eigenen Projekts Site URL und genau <app-origin>/auth/callback als Weiterleitung. Konfigurieren Sie eigenes SMTP und beide versionierten Bestätigungs-/Wiederherstellungsvorlagen. Bestätigung verwendet token_hash und type=signup. Verlangen Sie mindestens acht Zeichen mit Kleinbuchstaben, Großbuchstaben und Ziffern und aktivieren Sie TOTP-Einrichtung und -Prüfung. Aktivieren Sie kompromittierte Passwortprüfung, soweit unterstützt, und dokumentieren Sie Anbietergrenzen. Das full-Overlay verweigert bei Prüfungsfehlern den Zugriff und benötigt ausgehenden Zugang zu api.pwnedpasswords.com. Setzen Sie die maximale Sitzungsdauer auf 8760 Stunden (ein Jahr) und das Inaktivitäts-Timeout auf 720 Stunden (30 Tage). Die Datenbank weist Sitzungen jenseits genau dieser Grenzen ab; eine deaktivierte oder längere Auth-Grenze erneuert daher weiter Sitzungen, die anschließend jede API ablehnt. Erfassen Sie Sitzungsdauer, Refresh-Token-Rotation, Widerruf und Auth-Ratenlimits; SQL-Bootstrap setzt diese Plattformwerte nicht.

Ergebnis überprüfen

Verwenden Sie eine kontrollierte Wegwerfadresse. Prüfen Sie Zustellung, Öffnung auf dieser Instanz und erforderliche Bestätigungsgeste. Richten Sie TOTP in der Kontosicherheit ein und verwahren Sie Wiederherstellungscodes außerhalb des Browsers. Melden Sie sich ab und mit Passwort plus TOTP erneut an. Fordern Sie Passwortwiederherstellung an und prüfen Sie, dass das alte Passwort danach scheitert. Prüfen Sie Administratorzugriff für ADMIN_EMAILS erst nach MFA. Erfassen Sie Versionen, Datum und bereinigte Ergebnisse. Containerzustand belegt weder Zustellung noch Kontosicherheit. Keine E-Mail-Tokens, Passwörter, Sitzungen, TOTP-Geheimnisse oder Wiederherstellungscodes gehören ins Protokoll.