[3.3] Force Account Reactivation (Konto-Reaktivierung erzwingen)

[LukeWCS]

Name der Erweiterung:

Force Account Reactivation

Autor:

LukeWCS

Aktuelle Version der Erweiterung:

1.1.3

Voraussetzungen:

• phpBB 3.3.0 - 3.3.x
• PHP 7.4.0 - 8.4.x

Beschreibung der Erweiterung:

Ermöglicht es, eine automatische Reaktivierung des Benutzerkontos zu erzwingen, wenn die letzte Anmeldung des Benutzers zu lange her ist. Die Prüfung erfolgt immer dann, wenn ein Login durchgeführt wird; Liegt die letzte Aktivität ausserhalb des definierten Zeitraums, wird der Login sofort abgebrochen, das Konto deaktiviert und der Besitzer des Kontos über den Login und die Deaktivierung seines Kontos per E-Mail informiert. Dieser kann dann das Konto bequem per Link wieder reaktivieren. Diese Erweiterung richtet sich primär an grössere, länger existierende Boards mit sehr vielen Benutzern.

Ideal ist eine Kombination dieser Erweiterung mit der phpBB Funktion "Passwortänderung erzwingen".

Wird auf phpBB.de eingesetzt (siehe Accountsicherheit - Neue Maßnahmen).

Hintergrund

Entstanden ist diese Erweiterung aufgrund eines neuen Data Leak bei dem offensichtlich auch phpBB Logins in Umlauf gerieten. Dadurch können reguläre und bislang unauffällige phpBB Accounts gekapert und für Spam oder andere illegale Aktionen missbraucht werden. Davon waren bisher alte und lange Zeit unbenutzte Accounts betroffen. Mit FAR können solche alten Accounts automatisiert deaktiviert und von den Konto-Besitzern reaktiviert werden, ohne dass dazu Interventionen seitens Moderatoren und Administratoren nötig wären.

Eigenschaften

• Kann ein Benutzerkonto automatisch deaktivieren, wenn die letzte Aktivität zu lange her ist.
• Es kann ein Zeitraum definiert werden, wie lange die letzte Konto-Aktivität maximal her sein darf.
• Benutzerkonten mit denen zuvor noch nie eine Anmeldung durchgeführt wurde, können optional ebenfalls berücksichtigt werden.
• Einzelne Gruppen können von der erzwungenen Reaktivierung ausgeschlossen werden.
• Kürzlich registrierte Benutzer können separat ausgeschlossen werden.
• Gründer, Gäste und Bots sind generell ausgeschlossen.
• Der Benutzer bekommt eine Meldung beim Login, wenn das Konto deaktiviert wurde, mit der Info, wie es reaktiviert werden kann.
• Sendet eine E-Mail an den Besitzer des Kontos, wenn eine automatische Deaktivierung erfolgte. Wenn die phpBB Einstellung "Benutzerkonto-Aktivierung:" auf "Durch einen Administrator" gesetzt ist, gilt ausserdem: Sobald der Konto-Besitzer das Konto reaktiviert hat, sendet phpBB seinerseits ebenfalls erneut eine E-Mail mit Bestätigung an den Besitzer, das geschieht unabhängig von FAR.
• Erzeugt einen Eintrag im Benutzer-Protokoll. So kann man jederzeit im Protokoll sehen, wenn eine automatische Deaktivierung ausgeführt wurde. Sobald der Konto-Besitzer das Konto reaktiviert hat, erzeugt phpBB seinerseits ebenfalls einen Eintrag im Benutzer-Protokoll, das geschieht unabhängig von FAR.
• Sowohl die Meldung nach Login als auch die E-Mail, werden in der Sprache erstellt, die der betroffene Benutzer eingestellt hat. Sofern dafür ein Sprachpaket bei FAR vorhanden ist, ansonsten erfolgt ein Fallback auf die Board-Sprache. Schlägt das auch fehl, erfolgt ein Fallback auf Englisch.
• Bietet in der Benutzerverwaltung 2 zusätzliche Zeilen in der Übersicht eines Benutzers:
  • Letzte Passwort-Änderung: { Datum und Uhrzeit }
  • Inaktiv seit: { Datum und Uhrzeit } (wird nur angezeigt, wenn das Konto deaktiviert ist)
• Arbeitet ohne Massen-SQL-Aktionen und ist dadurch Resourcen-schonend, da immer nur 1 Benutzer von der Deaktivierung betroffen ist.
• Arbeitet ohne Massen-Mails, da immer nur 1 Benutzer kontaktiert wird. Dadurch keine Gefahr, dass das eigene Forum auf einer Spam-Blacklist landet.
• Direkt nach der Installation ist die Funktion der Erweiterung initial deaktiviert, damit man in Ruhe konfigurieren kann.
• Kompatibel mit Toggle Control (Schalter-Stil zentral festlegen)

Meldungen die während einer Deaktivierung erzeugt werden

1. Meldung die der Benutzer beim Login bekommt, wenn die letzte Aktivität zu lange her ist. (wird von FAR erzeugt)

Du hast dich in diesem Forum eine längere Zeit nicht mehr angemeldet, deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Es wurde soeben ein Link für die Reaktivierung an die E-Mail Adresse geschickt, die im Benutzerkonto hinterlegt ist. Sobald du diesen Link aufgerufen hast, wird dein Benutzerkonto reaktiviert und du kannst dich wieder hier im Forum anmelden.

2. E-Mail die der Konto-Besitzer bekommt, wenn sein Konto automatisch deaktiviert wurde. (wird von FAR erzeugt)

Betreff: Reaktiviere dein Benutzerkonto „{ Forum Name }“

Mit deinem Benutzerkonto, mit dem du dich länger nicht mehr bei uns im Forum angemeldet hast, wurde soeben eine Anmeldung durchgeführt. Deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Bitte folge den Anweisungen, um dein Konto wieder zu aktivieren. Sollte die Anmeldung nicht von dir durchgeführt worden sein, dann ändere bitte nach der Reaktivierung sofort dein Passwort.

Die Daten deines Benutzerkontos lauten:

----------------------------
Benutzername: { Benutzername }
----------------------------

Dein Passwort wurde sicher in unserer Datenbank gespeichert und kann nicht wiederhergestellt werden. Falls es vergessen werden sollte, kannst du es über die E-Mail-Adresse, die deinem Benutzerkonto zugeordnet ist, zurücksetzen lassen.

Um dein Benutzerkonto zu reaktivieren, musst du folgenden Link aufrufen:

{ Aktivierungs-Link }

{ E-Mail Signatur des Boards }

3. Meldung die der Benutzer im Forum bekommt, wenn er den Reaktivierungs-Link in der E-Mail angeklickt hat. (wird von phpBB erzeugt)

Bei den Optionen der Einstellung "ALLGEMEIN > Registrierung > Benutzerkonto-Aktivierung:"

a. Registrierung deaktivieren
b. Keine Aktivierung (direkter Zugang ohne Prüfung)
c. Durch den Benutzer (Verifizierung der E-Mail-Adresse):

Dein Benutzerkonto wurde aktiviert. Vielen Dank für deine Registrierung.

d. Durch einen Administrator:

Das Benutzerkonto wurde aktiviert.

Enthaltene Sprachen:

• de
• de_x_sie
• en

Download der Erweiterung:

GitHub Releases (mit Changelog)

Versionen aus dem genannten GitHub Release-Bereich sind für das Live-Forum gedacht. Dagegen dürfen Versionen aus dem Entwickler-Bereich nicht in einem Live-Forum installiert werden! Im Entwickler-Bereich können sich laufend Dateien und Strukturen ändern, das liegt in der Natur der Sache. Wer Versionen aus dem Entwickler-Bereich vorab testen will, kann (und sollte) diese in einem Test-Forum installieren.

[LukeWCS]

Mahlzeit

Bei der Force Account Reactivation Erweiterung bin ich über die E-Mail gestolpert, "die der Konto-Besitzer bekommt, wenn sein Konto automatisch deaktiviert wurde".

Bitte trenne von deinem Beitrag in der News Diskussion den Teil ab, der FAR betrifft und poste es hier im Thema neu, damit wir das im richtigen Kontext haben und vor allem beisammen. Also ab dem Satz den ich oben zitiert habe. Ich melde mich dann, wenn ich Zeit habe.

[Joe Kolade]

Bei der Force Account Reactivation Erweiterung bin ich über die E-Mail gestolpert, "die der Konto-Besitzer bekommt, wenn sein Konto automatisch deaktiviert wurde".

Mit deinem Benutzerkonto wurde soeben ein erfolgreicher Login nach einer längeren Abwesenheit in unserem Forum durchgeführt, deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Ich verstehe sehr wohl, was gemeint ist, finde aber die Formulierung unglücklich, da man sich unweigerlich fragt, warum nun der erfolgreiche Login vorübergehend deaktiviert wurde. Da ist die implementierte Antwort, nämlich "nach einer längeren Abwesenheit in unserem Forum", schnell überlesen und nicht wahrgenommen.
Der Satz aus der Meldung, "die der Benutzer beim Login bekommt, wenn die letzte Aktivität zu lange her ist", ist hier nach meinem Verständnis eindeutiger formuliert:

Du hast dich in diesem Forum eine längere Zeit nicht mehr angemeldet, deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Kurzum: Das Wort "erfolgreicher" (Login) bei der E-Mail ist aus meiner Sicht irritierend.

Just my two cents, Gruß Rob

[LukeWCS]

Um der Wahrheit die Ehre zu geben, ich hatte den betreffenden Satz mehrmals geändert gehabt und ich war mit keiner Variante so wirklich zufrieden. Allerdings war das auch eine Zeitfrage; FAR sollte zügig online gehen - nach unseren Tests natürlich - um weiteren Missbrauch einen Riegel vorzuschieben bzw. um das zumindest auszubremsen. Funktion war also vorrangig vor Optik oder Formulierungen.

Ich musste die E-Mail auch zwingend anders gestalten (und mehr Informationen transportieren), als die Meldung im Forum, denn die Person, die die E-Mail bekommt, muss ja nicht dieselbe sein, die die Forums-Meldung bekommen hat. Aber ich gebe dir Recht, die Kombination "erfolgreicher Login...Benutzerkonto...deaktiviert" im selben Satz, ist nicht ideal. "erfolgreicher Login" stimmt zwar technisch, ist aber schwer zu vermitteln.

Bisher:

Mit deinem Benutzerkonto wurde soeben ein erfolgreicher Login nach einer längeren Abwesenheit in unserem Forum durchgeführt, deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Bitte folge den Anweisungen, um dein Konto wieder zu aktivieren. Sollte der Login nicht von dir durchgeführt worden sein, dann ändere bitte nach der Reaktivierung sofort dein Passwort.

Neue Variante:

Mit deinem Benutzerkonto, mit dem du dich länger nicht mehr bei uns im Forum angemeldet hast, wurde soeben eine Anmeldung durchgeführt. Deshalb wurde dein Benutzerkonto aus Sicherheitsgründen vorübergehend deaktiviert.

Bitte folge den Anweisungen, um dein Konto wieder zu aktivieren. Sollte die Anmeldung nicht von dir durchgeführt worden sein, dann ändere bitte nach der Reaktivierung sofort dein Passwort.

Weniger Gefahr für mentale Knoten und näher an der Forums-Meldung.

[LukeWCS]

1.0.1 Release online

Primär Fixes.

[Wolkenbruch]

Vielen Dank für diese Erweiterung. Werde ich gerne testen und dann auch im Live-Forum einsetzten.

Habe den Text um eine Zeile erweitert, da zu meinen Mitgliedern viele technische Laien gehören.
Solltest du Probleme mit dieser Aktion haben, wende dich per E-Mail an unseren Support.

[LukeWCS]

nAbend

Habe den Text um eine Zeile erweitert, da zu meinen Mitgliedern viele technische Laien gehören.

Alternativ wäre auch eine Erklärung via Foren-News denkbar, wie wir das hier gemacht haben. Denn da kann man dann bei der Gelegenheit auch daran erinnern, mal die im Profil hinterlegte E-Mail Adresse zu überprüfen, ob diese noch aktuell ist. Denn diese ist ja nicht nur bei einem möglichen Passwort Reset seitens phpBB wichtig, sondern muss auch bei FAR zwingend gültig sein. Damit erreicht man zwar eher nur die aktiven Benutzer, aber immerhin.

[LukeWCS]

1.1.0 Release online.

[LukeWCS]

1.1.1 Release online.

[LukeWCS]

Version 1.1.2 veröffentlicht.

Da ich heute zufällig einen Bug entdeckt habe, der in einer durchaus gewöhnlichen Situation auftreten kann, habe ich jetzt zügig ein weiteres Update nachgeschoben.