Beiträge von spezl

Die Antwort war "Secure Mode geht nicht. Wir arbeiten dran."... Immerhin aber funktioniert jetzt das Anmelden, wenn Secure Mode deaktiviert ist (im Log oben kann man ja nachvollziehen, dass das vor ein paar Wochen nicht funktionierte). D.h. mein SCP ist jetzt ohne 2FA-Absicherung. Danke nochmal an alle, die hier halfen und hoffen wir, dass Netcup ihr Authentifizierung bald in den Griff kriegt!

Haltet Euch fest! Am 6.7. hat sich der Support gemeldet und gefragt, ob das Problem noch besteht. (Ich war unterwegs und konnte erst heute wieder antworten.) Ich halte Euch auf dem Laufenden

tl;dr

Geht so... halb? Aber ich glaube für die, die Spaß an so etwas haben, lohnt es sich dennoch mal meine Reise unten zu verfolgen - sie nimmt zum Ende hin eine seltsame Wendung ;-). Danke an Olivetti für's Weiterstubsen!

Okay, jetzt wird's lustig. Ich glaubte zwar nicht, dass das etwas bringt, aber man soll ja nichts unversucht lassen! Und ich muss zugeben, dass ich selber gar nicht daran dachte, weil ein Vertippen ja ausgeschlossen war (wie wir zum Ende hin auch sehen werden). Also, ran an's Werk.

Zuerst habe ich im SCP direkt probiert das Kennwort zu ändern. Ich kann mich ja (mittlerweile wieder - das was ja auch kaputt, nachdem ich mich beim Keycloak registriert hatte...) ins SCP mittels des CCP anmelden. Da fordert er mich auf, mich zu re-authentifizieren. Sehr gut. Und das lehnt er mit "invalid password" ab...

Na gut, dann habe ich es von der SCP-Anmeldemaske aus gemacht (wenn man direkt auf servercontrolpanel.de geht). Da funktioniert es dank des Email-Links. Ich setze das Kennwort wieder auf das One-and-only aus meinem Passwortmanager. Keine Sorge, es ist zwar alt, aber netcup-exklusiv, lang und von /dev/random erzeugt ;-). Wenn ich mich nun auf der normalen SCP-Anmeldemaske versuche anzumelden, kommt die Fehlermeldung, dass ich mich über das CCP anmelden müsse. So weit, so gut. Das ist doch ein Lebenszeichen und er erkennt immerhin mein Konto (und akzeptiert auch das Kennwort!).

Wenn ich jetzt versuche mich für die API anzumelden mittels des von ncctl generierten Links, dann kommt nun aber auch die gleiche Fehlermeldung! Dennoch ist das ein Fortschritt! Ich komme mir hier etwas komisch vor... aber nachdem ich immer nur das eine Kennwort nutze und das nie von Hand eingebe, habe ich mich immerhin nicht vertippt. (Dazu kommt später mehr...) Vielleicht hatte netcup bei der Portierung irgendwelche jahrealten Daten migriert, welche bei mir ja schon nicht mehr valide sind (nachdem der SCP-Zugang auf das CCP umgestellt wurde)? Jedenfalls hatte ich ja das Keycloak-Kennwort erst kürzlich in der Beta der API gesetzt, und da funktionierte es ja ein Weilchen. Nun gut, Migrationen sind immer ein Risiko. Schauen wir mal weiter!

Nun also verweigert die API den Zugriff, weil das SCP wiederum den Zugriff an das CCP deligiert. Und selbiges hat natürlich keine Ahnung von irgendwelchen API-Zugriffen. Das "witzige" ist nun, dass wenn ich mich per CCP wieder in das SCP einlogge und dann in einem anderen Browser-Tab die API-Anmeldung anstoße, bekomme ich als Fehlermeldung wieder "invalid username or password"... Wohlgemerkt mit den gleichen Zugangsdaten, die mir zuvor noch sagten, ich solle über das CCP gehen. Da ist dann wohl doch noch etwas mehr im Argen?

Dann schauen wir doch mal, ob ich nun im SCP mein Kennwort ändern kann. Immerhin gab es vorhin ja eine "schönere" Fehlermeldung. Ha! Jetzt geht das Ändern vom Kennwort innerhalb des SCPs. Fortschritt!

Also wieder eine API-Authentifizierung wagen (wie oben geschrieben: wenn ich abgemeldet war, kam zuvor "geh' über's CCP", wenn ich angemeldet war, kam auch nach dem Ändern des Kennworts "invalid username or password"). Nun kommt die "geh nach CCP"-Meldung! Hm, komisch. Einfach nochmal probieren. "invalid username or password". Ich werd' irre! Ich bin mir jetzt nicht mehr sicher, ob das vorher überhaupt mit "angemeldet" vs "nicht angemeldet" zu tun gehabt hatte...? Was ich jetzt hier sehe ist eher "Erster Loginversuch nach einer Kennwortänderung: geh zum CCP". Alle nachfolgenden "invalid username or password"? Aber das wäre schon sehr schräg... (Hier nehme ich gerne weitere Ideen auf )

Also verifizieren:

1. Ausloggen
2. Über servercontrolpanel.de anmelden -> "invalid username or password"
3. "Forgot Password?"
4. Auf das altbekannte Kennwort "neu" setzen
5. Über servercontrolpanel.de anmelden -> "Secure access mode is active for your user. Login is only possible via the Customer Control Panel."
6. Nochmal der gleiche Schritt, das gleiche Ergebnis! (also nicht "invalid username or password")
7. SCP Auto-Login mittel CCP -> geht
8. In anderem Tab auf servercontrolpanel.de gehen -> direkt drinnen (kein Login erfoderlich! (früher (letzen Monat?) ging es doch nicht mehrere Tabs offen zu haben, oder?)
9. Während ich angemeldet bin: API-Anmeldung mittels ncctl Link -> "invalid username of password"...
10. "Forgot Password?" direkt auf der API-Anmeldemaske aufrufen
11. Während die API-Authentifizierung im Hintergrund noch läuft(!) Kennwort zurücksetzen
12. Jetzt fragt er ob ich per Oauth gewisse Dinge freigeben will und der Login in ncctl funktioniert!
13. Sich freuen
14. ncctl logout/login -> Authentifizierung im Browser -> "Secure access mode is active for your user. Login is only possible via the Customer Control Panel."
15. Sich nicht mehr freuen
16. SCP abmelden, im CCP Auto-Login
17. API-Anmeldung -> "invalid username or password" (also wieder andere Meldung als zuvor)
18. "Forgot Password?"
19. Login funktioniert nach Reset
20. UUUND: Im noch offenen Tab mit der Fehlermeldung "invalid username of password" wird jetzt auf einmal die OAUTH Rechtevergabe angezeigt! "Code expired" wenn man das dann macht - ich bin ja schon durch den "Reset"-Tab reingekommen. Aber wir reden hier von dem Tab, in welchem ich mich eigentlich gar nicht korrekt authentifizieren konnte...
21. Secure Access Mode im SCP abschalten und abmelden (man ist ja mutig...
22. servercontrolpanel.de -> "invalid username or password" (Ich weiß nicht, was ich erwartet hatte...)
23. SCP Auto-Login im CCP -> funktioniert noch (puh)
24. Secure Access Mode im SCP wieder einschalten

So wie es jetzt also aussieht, war das Kennwort vorher wohl gar nicht falsch. Er besteht nur einfach immer auf seinem "invalid username or password", sofern man anderweitig angemeldet ist. Hin und wieder gibt es noch eine "Geh' ins CCP!" Meldung. Aber ich kann mich nur (einmalig) an der API authentifizieren, wenn ich das Kennwort zurücksetze. Das ist schon... spannend. Und auch nicht die Lösung die ich mir erhoffe und für 'nen Produktiveinsatz gewagt. Aber immerhin mal ein Schritt (oder zwanzig...) weiter um mal wieder mit den Skripten rumspielen zu können.

Zitat von darkstar

Aber das ist doch der neue Login-Screen vom SCP - und ja, der kommt auch bei der Erst-Authentifizierung an der REST-API. Und anschließend kommt was mit Rechte zuweisen.
Von 2FA sehe ich da jedenfalls noch nichts…

Japp - völlig korrekt. Als die API in der Beta war, da wurde man noch direkt an eine standard Keycloak-Anmeldeseite weitergeleitet. Da funktionierte das auch. Erst seit der Umstellung hier auf's SCP ist Ende Gelände. Und Du hast völlig Recht mit dem fehlenden 2FA. Das ist auch der Punkt, wo ich nicht einmal mehr weiß, was man als Nutzer machen sollte.

Zitat von Olivetti

blöde frage: das passwort im SCP ist aber korrekt gesetzt?

Hehe, ich kann gut nachvollziehen, dass die Frage gestellt wird. Aber ja, ich gebe jedenfalls das ein, welches ich davor erfolgreich eingegeben hatte - ich nutze nur generierte Kennwörter und muss es daher aus meinem Netcup-Passwordstore holen. Aber wer weiß, was da beim Zusammenspiel der mindestens drei Authentifizerungssysteme bei irgendwelchen Konvertierungen passiert sein könnte

Als ich kürzlich komplett aus dem SCP ausgesperrt wurde (s. Forumlink ganz am Anfang), kam auch nach zwei oder drei Wochen eine Nachricht "Ja, gab Probleme mit Keycloak, ist jetzt wieder okay." Ich kann mir vorstellen, dass in dem Zuge dafür der API-Zugang, den ich ja noch nicht regelmäßig nutze, kaputt gemacht wurde.

PS: Leider lässt mich der Support nun schon seit 10 Tagen ohne Kommentar hängen. Ich kann nicht einmal eine Rückmeldung über die vorgesehenen Links schicken, weil bei netcup das Captcha schon länger falsch eingebunden wird. Hmpf. Dann werde ich jetzt mal wieder "hinterher schreiben".

PPS: Aber ein ganz dickes Dankeschön an Olivetti und darkstar , dass ihr hier so lange mit dabei seid!

Nichts hilfreiches. Die HTTP-Antwort ist wie gesagt sogar "200"... (so etwas mag ich ja )image.png

Zitat von Olivetti

wenn der secure acces mode im SCP »OFF« ist, sollte man sich doch direkt am SCP anmelden können, ansonsten wäre das sicher ein fall für den support.

Korrekt - aber das geht ja mal wieder nicht. Und der netcup Support ist ja eher für's Untertauchen als schnelles Helfen bekannt ;-). Aber morgen sind 10 Tage vorbei, da werde ich mal wieder nach dem Status meines Tickets fragen (war aber letztes mal, als netcup mich komplett aus dem SCP aussperrte, auch nicht schneller).

Zitat von darkstar

Nur um sicherzugehen:
Was meinst Du mit „früher“? Länger als 7,5 Wochen?

Die REST-API ist als Beta erst im Oktober 2025 im Parallelbetrieb zur alten SOAP-API in Dienst gegangen und hat letztere erst am 01.05.2026 vollständig ersetzt, d.h. die SOAP-API wurde abgeschaltet.

Ich hatte bei der Beta mitgemacht und in der Zeit auch meine Steuerung implementiert. Die SOAP-API habe ich nie genutzt... PTSD aus der Arbeit

Nö, nö. Das läuft (bzw. lief...) alles von außerhalb. Somit auch momentan keine freigeschalteten Adressen für die API - ganz einfacher Standard. Der Code in meinem bisherigen Programm hat ja früher funktioniert, und ich habe das gleiche Problem mit ncctl, welches Olivettierwähnte. Es muss also schon eine Änderung auf Netcup-Seite gewesen sein. Sollte ich wirklich der einzige (Forumsleser) sein, welcher 2FA und Login via CCP aktivierte (und das jetzt nicht mehr ausschalten kann - egal was ich auswähle, ich kann weiterhin nur via Autologin im CCP ins SCP kommen), dann kann ich mir schon vorstellen, dass schlechte Tests vor dem Ausrollen der neuen Software meinen Fall nicht fanden.

Grüß' Dich, darkstar!

Vielen Dank für Deine weitere Beteiligung

Die Authentifizierung (/realms/scp) leitet mich stets auf die neue Anmeldemaske, wo ich noch vor der Abfrage eines 2FA-Codes abgelehnt werde (und ich habe mein aktuelles, sowie ein älteres Kennwort probiert). Ich habe auch im SCP mal den Secure Access Mode und auch Easy Password Mode deaktiviert. Einzeln und zusammen. Und ich habe sogar als Browser mal Chromium - ohne Erweiterungen - ausprobiert. Das Ergebnis im SCP ist stets gleich. Somit komme ich auch leider nicht an irgendein API-Token. Der Browser schickt stattdessen sowohl eine JSESSIONID als auch ein cookiesession1.

Und nur, damit ich nichts falsch verstand: Du meintest schon diese Einstellungen (hier beide wieder aktiviert)?image.png

darkstar Vielen Dank für den Verweis! Auch ich habe nichts anderes gemacht und es funktionierte ja in der Vergangenheit auch. Mir scheint, dass netcup hier erneut die Authentifizierung kaputt gemacht hat. Dieses "via CCP einloggen" war schon immer komisch, aber als braver Nutzer macht man ja das, was Sicherheit verspricht (ich glaube, im SCP konnte man damals kein 2FA aktivieren - wenn man das wollte, musste man eben den Login über das CCP aktivieren). Mit der Einführung des neuen SCP und dem Keycloak für die API im Hintergrund ist das Chaos nun perfekt.

Olivetti Sehr schön - danke! Wenn das Programm bei Euch funktioniert, dann weiß ich, dass ich eigentlich nichts Großes falsch mache. Zum einen scheitere ich auch mit dem ncctl am gleichen Authentifizierungsschritt, und zum anderen war das auch genau das, was mein Skript machte...

Naja, vielleicht meldet sich ja noch jemand hier, der ein ähnliches Setup hat. Es hilft leider auch nicht, dass Support-Ticket-Reaktionen (nicht einmal Lösungen) mittlerweile eher in Wochen als in Tagen oder gar Stunden gemessen werden

Noch immer keine Reaktion auf mein Support-Ticket...

Aber bin ich hier der einzige API-Nutzer, der 2FA und SCP-Login-via-CCP aktiviert hat? Hebt doch mal das Händchen

Zitat von [netcup] Sarah G.

Es steht am Plan, euer weiteres Feedback (z. B. 2FA) abzuarbeiten,

Grüße! Gerade erst fand' ich diese Diskussion. Heißt das, dass im neuen SCP kein 2FA (TOTP) unterstützt wird, aber bei Authentifizierung für die API man auf diese neue SCP-Anmeldemaske geführt wird? D.h. man kann sich gar nicht mehr zur API anmelden wenn 2FA aktiv ist? Oder habe ich etwas falsch verstanden? (Früher gab es doch eine dedizierte Keycloak-Anmeldung, wenn ich mich nicht irre... Wo lag die nochmal? )

Siehe auch API: Authentifizierung seit Neugestaltung

Viele Grüße

Hallo, zusammen!

Ich bin bezüglich der Authentifizierung auf der API etwas verwirrt.

Es gibt wohl mittlerweile drei verschiedene Authentifizierungsdienste bei Netcup. Den hinter CCP, den hinter SCP und nun auch Keycloak für die API. Leider aber wurde alles verwirrender seit der Einführung von 2FA. Damals wurde das SCP nicht mehr direkt nutzbar und man musste über das CCP sich "weiterleiten" lassen. Funktioniert (meistens - s.u.).

Dann wurde Keycloak eingeführt, welches ich auch einrichtete; natürlich mit 'nem anderen 2FA. Ich war auch in der Lage eigene Skripte mit der API zu nutzen! D.h. konzeptionell passte es und das Skript funktionierte. Leider wurde mir damals mit der Aktivierung von Keycloaks 2FA der Zugang zum SCP kaputt gemacht [0]. Nach einer gefühlten Ewigkeit (immerhin ist es kein gutes Gefühl, wenn man mehrere Tage nicht mehr auf seine Sachen zugreifen kann) wurde es kommentarlos wieder repariert und ich konnte das SCP über CCP wieder nutzen. Experimente mit der API ließ ich dann erst einmal...

Nun gab es ja das Redesign des SCP und ich wollte parallel mal wieder mein Skript weiterbauen. Aber das Skript, welches früher funktionierte, scheitert nun an der Authentifizierung. Ich kann mich beim CCP mit TOTP anmelden, welches mich auch ins SCP weiterleitet. Direktes Login ins SCP funktioniert nicht (wie seit der Aktivierung vom TOTP schon früher). Aber nun klappt der Login für die API nicht mehr. Das Skript ist seit es früher funktionierte nicht geändert worden. Und es wird auch der korrekte Flow genutzt - wenn ich die Authentifizierung 600s "liegen lassen", fragt die Loginmaske nach dem nun ungültigen Device Code - alles gut. Aber mein Nutzername und Kennwort werden nicht akzeptiert - es wird ein rotes "Invalid username or password." angezeigt (ja, die sind richtig ). Er fragt aber auch nicht nicht irgendeinem TOTP. Klar, ohne sollte die Authentifizierung auch nicht funktionieren.

Im Browser übrigens werden ausschließlich 200er HTTP-Codes geschickt - auch auf den fehlgeschlagenen POST!

Gibt es hier noch jemanden, der im CCP TOTP aktiviert hat, selbiges zum Login ins SCP nutzt/nutzen muss, aber sich dennoch gegenüber der API authentifizieren kann? Oder wurde im Rahmen der Umgestaltung des SCP und seiner Login-Masken etwas anderes geändert? Gibt's Ideen wie ich wieder an die API komme...?

Danke!

[0] SCP-Zugriff schlägt mit 403 fehl

[1]

image.png

Hallo, Ben & Co!

Nur als Hinweis für zukünftige Aktionen: Ihr solltet nie die von netcup zur Verfügung gestellten Domains für irgendwelche Dienste nutzen (außer vielleicht noch als RR für SSH), da diese nicht in der public suffix list sind. Das ist auch nicht verwunderlich, ermöglicht aber Angreifern, welche ebenfalls netcup nutzen, im Browser (falls Du eben Webdienste auf dem Server unter der Domain betreiben wollen würdest) Deine Cookies zu setzen und v.a. zu lesen.

Viele Grüße
Spezl

Vielen Dank, nitram! Dann werde ich mal Deine Ticketnummer in mein Support-Ticket einfließen lassen! Bei netcup scheint's momentan ja eh etwas langsamer zu gehen.

Zitat von tab

Ich hatte das vor einigen Stunden auch. Der direkte Login ins SCP mit Passwort hat aber geklappt. Gerade eben habe ich es nochmal über das CCP probiert, funktioniert bei mir jetzt auch wieder.

Direkt ins SCP einloggen kann ich schon sehr lange nicht mehr. Ich dachte, das ist bei allen so seit auf den Login via CCP umgestellt wurde

Zitat von nitram

Hast du zufällig in Keycloak 2fa aktiviert?

Ich habe sowohl zum Login im CCP als auch zum neuen Login via Keycloak für die API einen 2FA aktiv.

Zitat von crunch

also ich habe genau das heute schon mehrfach gemacht. ohne fehler.

Danke Dir. Hm. Wenn ich mein selbst geschriebenes TUI für die REST-API nutze, dann findet ja eine Authentifizierung mittels OIDC statt. Diese funktioniert auch. Es ist also nur die SCP-Anmeldung über die Webseite mittels CCP. Hmpf - immerhin gibt's die REST-API für ein paar Aktionen!

Hallo!

Ich versuche mich heute schon länger mittels CCP auf dem SCP anzumelden, aber werde immer gleich auf eine 403-Fehlerseite geschickt, welche optisch etwas an die 2000er erinnert ;-). Der Kundendienst antwortet leider nur, dass es an die Fachabteilung weitergeleitet würde, welche momentan besonders viele Anfragen erhielte...... Naja, jedenfalls wollte ich mal nachfragen, ob es ein Problem mit meinem Konto ist oder ob jemand von Euch das gleiche Problem sieht?

image.png