Benutzer, Rollen und Sicherheit

Benutzer anlegen

System & Einstellungen → Benutzer → Neuen Benutzer anlegen: Name, E-Mail, Passwort (zweimal), Rolle. Bearbeiten und Löschen stehen in der Liste neben jedem Konto. Dein eigenes Konto ist mit „(du)” markiert.

Der letzte Administrator lässt sich nicht herabstufen oder löschen — sonst käme niemand mehr an die Einstellungen.

Rollen

Rolle	Darf
Administrator	alles, einschließlich Einstellungen, System-Update, Backups, Plugins, Benutzerverwaltung, Aktionen & QR-Codes
Shop-Manager	Produkte, Kategorien, Hersteller, Attribute, Varianten, Empfehlungen, Lager, Import, Bestellungen, Kunden, Gutscheine, Bewertungen, Statistiken, Versand, Datenschutz, Nachrichten, Builder, Seiten, Blog, Menüs, Medien, Newsletter

Shop-Manager sehen im Menü nur, was sie öffnen dürfen. Gesperrt wird auf dem Server — ein direkter Aufruf einer gesperrten Adresse endet mit 403.

Zwei-Faktor-Anmeldung

System & Einstellungen → Sicherheit (jeder Benutzer für sich):

1. Einrichtung starten.
2. Den QR-Code mit einer Authenticator-App scannen (Google Authenticator, Microsoft Authenticator, 1Password, Bitwarden — alle, die TOTP können). Alternativ den Schlüssel von Hand eingeben.
3. Den Code aus der App eintragen und Aktivieren. Erst ein richtiger Code stellt die Anmeldung um — niemand sperrt sich mit einer falsch eingerichteten App aus.
4. Die Wiederherstellungscodes sichern. Jeder funktioniert einmal und ersetzt den App-Code. Die Liste wird nicht wieder angezeigt; aufbewahren dort, wo auch das Passwort liegt — nicht auf demselben Gerät wie die App.

Alte Einträge in der App löschen

Jede Einrichtung erzeugt einen neuen Schlüssel. Bleibt ein früher gescannter Eintrag in der App stehen, sehen beide gleich aus — und der Code aus dem alten wird abgewiesen.

Für alle verpflichtend machst du sie unter System & Einstellungen → Sicherheit (Einstellung) → Zwei-Faktor für Administratoren verpflichtend. Vorher sollte es ein zweites Administratorkonto geben.

Handy verloren? Mit einem Wiederherstellungscode anmelden. Ohne Codes setzt ein Zugang zum Server die Zwei-Faktor-Anmeldung eines Kontos zurück:

php artisan wavux:2fa-reset admin@deine-domain.de

Geht die Uhr des Handys mehr als eine Minute falsch, lehnt der Shop den Code mit einem Hinweis auf die Uhrzeit ab.

Aktivitätsprotokoll

System & Einstellungen → Aktivitätsprotokoll zeigt jede schreibende Aktion im Backend: Zeit, Benutzer, Aktion, Adresse und die übermittelten Daten (Passwörter ausgenommen). Durchsuchbar.

Anmeldeschutz

Anmeldeversuche werden gebremst; nach mehreren Fehlversuchen muss man warten. Kunden-Anmeldung, Passwort-Zurücksetzen, Kasse, Newsletter, Bewertungen und Widerruf haben jeweils eine eigene Bremse.