Server konfigurieren

Grundlagen und Datenbank

E-Mail und Administration

Funktionen und Grenzen

Eine ungültige SMTP-URL oder ein ungültiger Absender verhindern den Start. So fallen Tippfehler sofort auf.

Passbox verschickt Einladungen und Sicherheitshinweise: Anmeldung auf einem neuen Gerät, geändertes Master-Passwort, Änderungen an der Zwei-Faktor-Anmeldung, Wiederherstellungen, Notfallzugang und Leak-Warnungen. E-Mails gehen auf Deutsch oder Englisch hinaus, in der Sprache, die die Person in Passbox gewählt hat.

Den SMTP-Server geben Sie als URL an:

Sonderzeichen in Benutzername und Passwort schreiben Sie prozentkodiert, etwa @ als %40:

PASSBOX_SMTP_URL='smtps://passbox%40example.com:app-passwort@smtp.example.com:465'
PASSBOX_MAIL_FROM='Passbox <passbox@example.com>'
PASSBOX_PUBLIC_URL='https://passbox.example.com'

E-Mails laufen über eine Warteschlange in der Datenbank. Anfragen warten nie auf den Mailserver, und E-Mails überstehen Neustarts. Vorübergehende Fehler wiederholt Passbox etwa vier Stunden lang. In der Administration sehen Sie wartende und fehlgeschlagene E-Mails und senden mit Testmail senden eine Probe.

Statt SMTP können Sie mit PASSBOX_CAMELMAILER_API_KEY über die API eines Camelmailer-Servers ab Version 0.12 versenden.

Für Single Sign-on und SCIM setzen Sie PASSBOX_PUBLIC_URL auf die Adresse, unter der Ihre Nutzer Passbox öffnen. Der Identitätsanbieter schickt Nutzer an {PASSBOX_PUBLIC_URL}/api/v1/sso/callback zurück. SCIM liegt unter {PASSBOX_PUBLIC_URL}/api/v1/scim/v2. Der Server muss den Anbieter über https erreichen.

Die Einrichtung in Passbox und die Anleitungen für Entra ID, Google, Okta, Keycloak, authentik und ZITADEL stehen unter Single Sign-on und SCIM.

Die Icons von rund 3.500 bekannten Websites sind in den Apps enthalten. Für alle anderen fragen die Apps Ihren Server, nie die Website selbst. Der Server holt das Icon einmal, speichert es für alle und prüft es nach 30 Tagen erneut.

• Speicher: etwa 10 KB pro Website, die nicht in den Apps enthalten ist. 10.000 verschiedene Websites belegen rund 100 MB.
• Datenschutz: Ihr Server erfährt die Domains, die nicht in den Apps enthalten sind. Der Speicher der Icons enthält kein Konto und keine Sitzung, und das Protokoll zeigt keine Domains. Die Websites sehen nur die IP-Adresse des Servers, einmal pro Website.
• Verbindungen: nur Port 443 öffentlicher Adressen, höchstens drei Weiterleitungen, drei Sekunden Zeitlimit, höchstens 200 KB.

Mit PASSBOX_ICONS=off schalten Sie das ab. Die Apps zeigen dann Anfangsbuchstaben.

• Geleakte Passwörter (PASSBOX_BREACH_PROXY, an): Die Apps schicken die ersten fünf Zeichen eines Hashwerts an Ihren Server. Er fragt Have I Been Pwned und gibt die Antwort weiter. Have I Been Pwned sieht nur die IP-Adresse Ihres Servers. Kein Schlüssel nötig.
• Websites mit Datenleck (PASSBOX_BREACH_CATALOG, an): Der Server lädt alle sechs Stunden die öffentliche Liste der Datenlecks. Die Apps vergleichen sie auf dem Gerät. Ohne Internet setzen Sie off, dann nutzen die Apps die mitgelieferte Liste.
• Leak-Überwachung für E-Mail-Adressen (PASSBOX_HIBP_API_KEY): braucht ein Abo bei Have I Been Pwned und eingerichtete E-Mail. Nutzer bestätigen ihre Adressen per Code, der Server prüft sie regelmäßig und schreibt bei neuen Lecks.

Anhänge liegen verschlüsselt im Ordner PASSBOX_BLOB_DIR, in Docker im Volume passbox-blobs. Sichern Sie diesen Ordner zusammen mit der Datenbank. Ein Speicher über S3 ist nicht eingebaut. Wenn Sie Objektspeicher brauchen, binden Sie ihn als Dateisystem ein.

Die API beantwortet Anfragen von jedem Ursprung (CORS). Das braucht die Desktop-App. Es ist sicher, weil Passbox jede Anfrage mit einem Token im Header prüft und keine Cookies nutzt. Setzt Ihr Reverse Proxy eigene CORS-Header, entfernen Sie diese.