Max Password-Length auf 8 Zeichen heruntersetzen.

[carlobeltrame]

Ich hoffe schwer du meinst die Mindestlänge, nicht die Maximallänge.

[carlobeltrame]

Ausserdem: Darf ich fragen warum diese Änderung gewünscht ist? Fachstellen für Web Application Security wie die OWASP und NIST empfehlen bei Applikationen mit sensitiven Daten (z.B. die History und Interessen von politischen Partizipator*innen) Passwortlänge 8 nur in Kombination mit 2-Faktor-Authentifizierung (wobei SMS nicht die einzige 2FA-Möglichkeit sein darf). Die von Decidim vorgeschriebene Passwortlänge 10 ist nicht so viel höher, hat aber bereits grosse Auswirkungen auf die Knackbarkeit:

Aus Security-Sicht von Puzzle kann ich diese Änderung so alleinstehend daher nicht empfehlen.

[larsUE]

Diese Liste ist sehr hilfreich, danke! Es geht hier nur um die in Version 0.27 eingeführte Strong Password Policy for Admins: https://github.com/decidim/decidim/pull/9347. Die minimale Länge kann per ENV Var gesetzt werden.

Ich bespreche es jedoch nochmals mit der Stadt und verschiebe das Ticket in den Backlog.

[larsUE]

In Rücksprache mit Stadt geclosed

[larsUE]

FYI: @innosmith @nadjavonballmoss