Passwort speichern verhindern / Autologout

    Hallo!

    Ich habe direkt 2 Fragen im Umgang mit Passwörtern bei einer Passwortgeschützen Seite / Beitrag.

    1.Ich habe eine Passwortgeschützte Seite erstellt.
    Gibt man hier das Passwort ein, fragt der Firefox, ob dieses Passwort gespeichert werden soll.
    Diese abfrage möchte ich gerne verhindern. Es soll garnicht erst gefragt werden und somit die Möglichkeit, ein Passwort zu speichern deaktiviert sein.
    Wie geht so etwas?

    Darüber hinaus:
    Wenn man sich eingeloggt hat und verlässt die Seite, dann kann man sich immer wieder ohne Anmeldung auf die Seite begeben.
    Am liebsten würde ich das dafür verantwortliche Cookie direkt mit dem Verlassen der Seite löschen lassen.
    In der wp-login.php fand ich folgende Stelle:

    PHP
    case 'postpass' :	require_once ABSPATH . 'wp-includes/class-phpass.php';	$hasher = new PasswordHash( 8, true );
	/**	 * Filter the life span of the post password cookie.	 *	 * By default, the cookie expires 10 days from creation. To turn this	 * into a session cookie, return 0.	 *	 * @since 3.7.0	 *	 * @param int $expires The expiry time, as passed to setcookie().	 */	$expire = apply_filters( 'post_password_expires', time() + 1 * DAY_IN_SECONDS );	setcookie( 'wp-postpass_' . COOKIEHASH, $hasher->HashPassword( wp_unslash( $_POST['post_password'] ) ), $expire, COOKIEPATH );
	wp_safe_redirect( wp_get_referer() );	exit();

    Soweit ich verstanden habe, habe ich die Lebensdauer des Cookies nun auf 1 Tag gesetzt?
    Wie kann ich das aber nun direkt bei Verlassen der Seite realisieren?

    Vielen Dank für Eure Hilfe!

    • Gerade eben
    • Anzeige

    Hallo!

    Wenn du gerade an deiner Website arbeitest oder dein aktuelles Hosting überdenkst: Wir betreiben mit NetzLiving eine Hosting-Plattform, die speziell auf Performance, Sicherheit und einfache Verwaltung ausgelegt ist.

    • ✔️ Schnelle Ladezeiten (optimiert für WordPress & Co.)
    • ✔️ Deutsche Server & DSGVO-konform
    • ✔️ Persönlicher Support (kein 0815-Ticket-System)

    Mehr erfahren

    Zitat von deebee82

    Gibt man hier das Passwort ein, fragt der Firefox, ob dieses Passwort gespeichert werden soll.


    Hat nichts mit WordPress zu tun, das stellst Du im FF ein unter:

    Extras->Einstellungen->Sicherheit->Passwörter

    Zitat von deebee82

    Wenn man sich eingeloggt hat und verlässt die Seite, dann kann man sich immer wieder ohne Anmeldung auf die Seite begeben.


    Dann musst Du kein Häckchen machen bei "Erinnere dich an mich" und einmal kurz den Browser schließen.

    Zu der ersten Antwort: Nein, ich meine nicht die Einstellungen für mich, sondern für alle anderen, die sich einloggen.
    Loggt sich jemand auf der Seite ein, soll das PW nicht zu speichern sein. Wie z.B. bei meinem Online Banking. Wenn ich mich dort anmelde, ist es unmöglich das Passwort zu speichern und es kommt die Meldung, dass die Seite das Speichern von Passwörtern verhindert. Das will ich auch für diese PW-Geschützte Seite.

    Zum Häkchen: Bei der PW-Geschützten Seite gibt es kein Häkchen. Wenn ich eine Seite erstelle, die unter Sichtbarkeit -> Passwortgeschützt eingestellt ist, gibt es hier keinen Haken, der heißt, erinnere dich.
    Ich weiß, es wird ein Cookie gespeichert, mit einer bestimmten Lebenszeit. So lange dieser Cookie im Browser lebt, kommt man ohne anmeldung immer wieder auf die Seite. Und diese Lebenszeit möchte ich einfach drastisch verkürzen.

    Ob Passwörter für ein Input-Element mit einem Name-Attribut gespeichert werden oder nicht, stellst Du im Browser ein und der Server hat darauf keinen Einfluss. Stelle Dir das mal vor, was das für ein Sicherheitsleck wäre, wenn eine Webseite die Einstellungen Deines Browsers verändern könnte. Auch JavaScript darf das nur in sehr engen Grenzen.

    Beim Online-Banking wird denke ich (nach dem zu urteilen, was ich so in der Kürze las) der Wert fürs Name-Attribut bei jedem Aufruf neu vergeben, so dass das Passwort zwar eigentlich vom Browser gespeichert wird, jedoch der Browser das Input-Element mit dem Name-Attribut beim nächsten Aufruf nicht wieder erkennt, da ja mit einem neuen Namen versehen.

    Du möchtest aber nicht so tief in WP eingreifen, dass WP am Ende möglicherweise nicht mehr erkennt, ob die Eingabe vom richtigen Formular erfolgte. Zumal sich das ja nicht mit einem Zufallsgenerator lösen ließe, sondern eventuell mit einem Session-Parameter.

    Und bei meinem Formular habe ich gerade einmal nachgeschaut, da bleibt zwar der Wert vom Name Attribut, doch im Input-Element sitzt ein zweites Input-Element mit einer Clear-Funktion. Somit wird das Passwort wohl als Eigenschaft behandelt oder wie auch immer, nur noch tiefer wollte ich da gerade nicht einsteigen. Ohne zusätzlichen Programmieraufwand ist das zumindest nicht so einfach lösbar.

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!

Benutzerkonto erstellen Anmelden