Gemessen am laufenden Anmeldedienst, nicht aus dem Gedächtnis.
| Fall | Antwort des Dienstes |
|---|---|
| Benutzername oder E-Mail + Passwort korrekt | 200 · access_token, gültig 8 Stunden |
| Passwort falsch oder Name unbekannt | 401 · „Benutzername oder Passwort ist falsch." |
| Feld leer | 400 · „Benutzername und Passwort sind erforderlich." |
| 2FA für dieses Konto aktiv | 200 · mfa_required, challenge_token — kein access_token, der Code muss zuerst geprüft werden |
| Code falsch | 401 · „Der Verifizierungscode ist nicht korrekt." |
| Challenge abgelaufen | 400 · „Challenge abgelaufen. Bitte erneut anmelden." |
| Code-Prüfung ohne challenge_token oder code | 400 · „challenge_token und code sind erforderlich." |
| Passwort korrekt, aber der MFA-Kanal ist nicht erreichbar | 503 · mfa_required, mfa_error — kein Token; das Passwort ist nicht falsch, der Versandweg fehlt |
| Zu viele Versuche von derselben IP | 429 · „Zu viele Anmeldeversuche. Bitte spaeter erneut versuchen." |
Routen: POST /auth/login (alternativ POST /api/login) und POST /auth/mfa/verify bzw. POST /api/mfa/verify. Die Anmeldung bleibt 8 Stunden gültig — der Dienst rechnet TOKEN_TTL = 8 × 60 × 60 ab dem Login. Abmelden gibt es: POST /api/logout und POST /auth/logout antworten 200 mit {"status":"abgemeldet"} und widerrufen den übergebenen Token serverseitig. Wird gemessen …
Wird gemessen …
Es gibt keine Selbstbedienung zum Zurücksetzen. Der Anmeldedienst kennt keine Route dafür, und es gibt keine Seite, die sie anbietet. Wer das Passwort nicht mehr kennt, meldet sich über die Kontaktseite — JD Smart Vision e.U., Wien — und bekommt ein neues Passwort gesetzt. Ein Link auf eine FAQ-Seite, die das Passwort-Thema nicht behandelt, wäre eine leere Zusage gewesen.