Passkeys und Login für dein SaaS, ohne externen Auth-Dienst
Zuletzt aktualisiert am
Seed meldet Leute mit Passkeys, Anmeldelinks per E-Mail, Google und GitHub an, geprüft von der eigenen API auf deinem Server, ohne fremden Auth-Dienst. Passwörter, Passkeys und Anmeldelinks funktionieren direkt nach dem Deployment, ohne Gebühr pro Nutzer; Google und GitHub brauchen je zwei Schlüssel in der Env-Datei.
- Passwörter mit PBKDF2-SHA-256 über Web Crypto gehasht, standardmäßig mit 600.000 Runden
- Signierte Sitzungscookies und ein Audit-Trail für jedes Anmeldeereignis
- Persönliche API-Tokens, nur als Hashes mit Schlüssel gespeichert
- Passkeys: Gespeichert wird nur der öffentliche Schlüssel, und jede Anmelde-Challenge gilt nur einmal
- Magic Links: Ein Link meldet an oder registriert, gilt einmal und 15 Minuten lang und wird nur als Hash gespeichert
- Gastkonten (anonyme Anmeldung): Besucher starten mit einem Klick ohne Anmeldemethode und fügen demselben Konto später E-Mail und Passwort, Google, GitHub oder einen Passkey hinzu
- Falsche Passwörter werden pro Anmeldename über alle Netzwerkadressen hinweg gezählt, danach folgt eine kurze Sperre
Die API prüft jede Anmeldung selbst und antwortet mit einem signierten Sitzungs-Cookie. Ein Passkey nutzt das eingebaute WebAuthn des Browsers: Der Server speichert nur seinen öffentlichen Schlüssel, und jede Anmelde-Challenge gilt nur einmal. Ein Anmeldelink meldet an oder registriert, gilt einmal und 15 Minuten lang und wird nur als Hash gespeichert.
Eine Authenticator-App ergänzt die Anmeldung um einen zweiten Faktor. Das Profil listet jeden Zugang zum Konto und jedes angemeldete Gerät auf; wer einen Zugang ändert, muss sich ausweisen, und es geht eine E-Mail raus. Besucher können auch mit einem Gastkonto starten und später eine Anmeldemethode hinzufügen.
Brauche ich einen Auth-Dienst?
Nein. Die eigene API von Seed prüft Passwörter, Passkeys, Anmeldelinks und die Antworten von Google und GitHub auf deinem Server, also wird nichts pro Nutzer berechnet.
Unterstützt Seed Passkeys?
Ja. Leute fügen in ihrem Profil einen Passkey hinzu und melden sich damit an; der Server speichert nur seinen öffentlichen Schlüssel, und jede Anmelde-Challenge gilt nur einmal.
Hat Seed Zwei-Faktor-Authentifizierung?
Ja. Eine Authenticator-App verlangt bei der Anmeldung einen Einmalcode, auch nach einer Anmeldung mit Google oder GitHub.
Kann ich die Anmeldung mit Google oder GitHub weglassen?
Ja. Jede bleibt aus, bis ihre beiden Variablen in der Env-Datei gesetzt sind; lässt du sie weg, ist sie also aus.
Läuft Seed auf Node oder Bun?
Noch nicht. Seed läuft heute auf Deno, und die Umstellung auf Deno, Node und Bun ist im Gange (#623). Den Plan dazu findest du auf der Funktionsseite.