Eine Sitzung ist eine angemeldete Browser- oder App-Verbindung. Diese Seite erklärt, wie lange Sitzungen bestehen, wie Sie und Ihre Administratoren sie beenden, was nach fehlgeschlagenen Anmeldungen passiert, wie ungewöhnliche Anmeldungen gekennzeichnet werden und wie vertrauenswürdige Geräte den zweiten Faktor überspringen.
Wie lange eine Sitzung dauert
| Regel | Wirkung |
|---|---|
| Inaktivität | Eine Sitzung, die eine Zeit lang nicht genutzt wird, endet; Sie melden sich erneut an. |
| Maximale Lebensdauer | Jede Sitzung endet nach einer maximalen Lebensdauer, auch wenn sie genutzt wird, und die Lebensdauer ist länger, wenn Sie bei der Anmeldung „Angemeldet bleiben“ aktivieren. |
| Sitzungen pro Person | Höchstens 10 aktive Sitzungen pro Person in einer Organisation. Eine weitere Anmeldung beendet die älteste Sitzung. |
| Eine Sitzung pro Browser | Eine erneute Anmeldung im selben Browser ersetzt die Sitzung dieses Browsers. |
Zugriffstoken sind kurzlebig und werden im Hintergrund erneuert. Wird ein Erneuerungstoken jemals zweimal verwendet, enden alle Sitzungen dieser Person, weil dies bedeutet, dass ein Token kopiert wurde.
Sitzungen beenden
| Wer | Wie |
|---|---|
| Sie | Mein Profil > Sicherheit > Aktive Sitzungen: Abmelden bei einer Sitzung („Das Gerät, das diese Sitzung nutzt, wird sofort abgemeldet. Ist es das Gerät, das Sie gerade verwenden, werden auch Sie abgemeldet.“) oder Alle anderen Sitzungen abmelden („Jedes andere Gerät, das in Ihrem Konto angemeldet ist, wird sofort abgemeldet. Die Sitzung, die Sie gerade verwenden, bleibt bestehen.“). |
| Ein Administrator | Mitglieder > Mitglied > Abmelden: Das Mitglied wird auf allen Geräten aus dieser Organisation abgemeldet. „Es kann sich erneut anmelden; um es fernzuhalten, sperren Sie es.“ |
| Automatisch | Eine Rollenänderung, Sperrung oder Entfernung beendet sofort die Sitzungen des Mitglieds in der Organisation. Alle Sitzungen einer gesperrten Organisation enden. |
Jeder Eintrag unter Aktive Sitzungen zeigt Gerät, IP-Adresse, Standort, Gestartet, Zuletzt aktiv und Läuft ab.
Sperre nach fehlgeschlagenen Anmeldungen
| Einstellung | Wo | Standard |
|---|---|---|
| Konto sperren nach (fehlgeschlagenen Anmeldungen) | Einstellungen > Authentifizierung & SSO | 5. „1 bis 5. Die eingebaute Grenze ist 5; eine niedrigere Zahl sperrt früher.“ |
| Sperrdauer | Von der Plattform festgelegt | standardmäßig 15 Minuten |
Ein gesperrtes Konto sieht „Dieses Konto ist nach zu vielen fehlgeschlagenen Anmeldungen gesperrt. Versuchen Sie es später erneut oder setzen Sie Ihr Passwort zurück.“ Die Sperre wird vor dem Passwort geprüft, sodass ein gesperrtes Konto keinen Hinweis darauf gibt, ob ein Passwort richtig war. Nach einigen Fehlversuchen kann ein CAPTCHA verlangt werden, sofern ein CAPTCHA-Anbieter installiert ist. Jede Sperre schreibt auth.account_locked in das Auditprotokoll und löst den Webhook auth.account_locked aus.
Auch falsche Codes für den zweiten Faktor sind begrenzt: „Zu viele falsche Codes. Bestätigungscodes sind für n Minuten pausiert.“
Sicherheitssperren
Die Betreiber von Hermetry können eine Sicherheitssperre auf ein Konto setzen. Sie beendet jede Sitzung und lehnt jede Anmeldemethode ab, bis sie aufgehoben wird: „Dieses Konto ist aus Sicherheitsgründen gesperrt. Jede Anmeldemethode ist blockiert, bis die Sperre aufgehoben wird. Wenden Sie sich an den Support.“ Die Person wird per E-Mail informiert.
Ungewöhnliche Anmeldungen
Jede Anmeldung wird mit der vorherigen Anmeldung der Person verglichen. Hermetry markiert unmögliche Reisen, ein neues Land, ein anonymisierendes Netzwerk (Proxy, VPN oder Tor), eine neue Adresse sowie einen neuen Browser oder ein neues Betriebssystem. Jede ungewöhnliche Anmeldung schreibt eine Zeile auth.login_anomaly ins Auditprotokoll, mit einem Schweregrad von niedrig (neue Adresse oder neues Gerät) bis hoch (unmögliche Reise oder Tor), und löst den Webhook security.login_anomaly aus. Die KI-Firewall nutzt dieselben Signale.
Vertrauenswürdige Geräte
Wenn Sie bei der Anmeldung entscheiden, einem Browser zu vertrauen, überspringt er für eine Zeit den zweiten Faktor: standardmäßig 30 Tage (die Plattform legt den Wert fest, höchstens 30). Der Browser benötigt weiterhin das Passwort.
Mein Profil > Sicherheit listet Ihre Vertrauenswürdigen Geräte mit Vertraut seit, Zuletzt gesehen und Vertraut bis. Widerrufen für eines oder Alle widerrufen: „Die nächste Anmeldung auf jedem vertrauenswürdigen Gerät fragt erneut nach Ihrem Anmeldecode. Niemand wird abgemeldet.“
Widerrufen Sie vertrauenswürdige Geräte, wenn ein Laptop verloren geht oder gemeinsam genutzt wird.
IP-Zugriffslisten
Ein Eigentümer kann einschränken, welche Adressen die Organisation öffnen dürfen: Einstellungen > Anmelderichtlinie > IP-Zugriffslisten.
| Feld | Bedeutung |
|---|---|
| Erlaubte Adressen (leer erlaubt jede Adresse) | IPv4- oder IPv6-Adressen und CIDR-Blöcke, getrennt durch Kommas, Leerzeichen oder neue Zeilen. Ist die Liste gesetzt, wird jede andere Adresse abgelehnt. |
| Gesperrte Adressen | Adressen, die immer abgelehnt werden. |
„Eine Liste, die Ihre eigene Adresse ablehnen würde, wird nicht gespeichert.“ Eine abgelehnte Anfrage erhält 403 (TENANT_IP_NOT_ALLOWED), mit derselben Antwort für beide Listen. Die Listen gelten für Anfragen von Mitgliedern in der Organisation. Die Anmeldung selbst sowie Anfragen mit API-Schlüsseln werden von ihnen nicht geprüft; API-Schlüssel haben eigene erlaubte Netzwerke (siehe Härtung von API-Schlüsseln).
Registrierung
Einstellungen > Authentifizierung & SSO > Registrierung & Verifizierung:
| Einstellung | Bedeutung |
|---|---|
| Öffentliche Registrierung erlauben | „Ist sie aus, können nur Administratoren neue Konten anlegen.“ Einladungen funktionieren weiterhin. |
| E-Mail-Verifizierung erforderlich | „Benutzer müssen ihre E-Mail-Adresse verifizieren, bevor sie auf die Plattform zugreifen.“ |
Für eine IoT-Organisation die öffentliche Registrierung deaktiviert lassen und Personen einladen.