Anmelden, Registrieren und Zugang

Der Zugang zu XICBOT läuft über die Anwendung unter app.xicbot.de. Ohne Anmeldung öffnen dort nur die Zugangsseiten, alle Arbeitsbereiche führen zur Anmeldung. Diese Seite beschreibt jedes Feld, jede Meldung und jede Grenze vom Anlegen eines Kontos bis zur angenommenen Team-Einladung.

Die Zugangsseiten

Die Einträge Anmelden und Konto anlegen im Kopf von xicbot.de führen auf /anmelden und /registrieren und geben die Sprache der gerade gelesenen Seite mit. Auch die Links in den Mails tragen eine Sprache: die Bestätigungsmail die Sprache des Kontos, die Mail zum Zurücksetzen die Sprache der Seite, auf der der Link angefordert wurde, und die Einladung die Sprache der einladenden Person. Als an diesem Gerät gewählt gilt eine Sprache, die über den Sprachknopf, über eine Adresse mit ?sprache=de oder ?sprache=en wie bei diesen Einträgen oder früher an diesem Gerät eingestellt wurde. Nur diese Sprache schickt die Anmeldeseite mit, Deutsch oder Englisch, und jede erfolgreiche Anmeldung setzt sie als Sprache des Kontos. Ohne Wahl an diesem Gerät schickt die Seite keine Sprache mit; das Konto behält seine, und die Anwendung übernimmt sie nach der Anmeldung. Danach richten sich die Bestätigungsmail, die Mail nach einer Passwortänderung und die Einladungen, die die Person verschickt.

Welche Sprache die Anwendung zeigt und wie eine Adresse sie vorgeben kann, steht unter Sprache der Oberfläche.

Konto anlegen

Die Seite Konto anlegen beginnt mit dem Satz „Legen Sie ein Konto an. Die Adresse wird über einen Link bestätigt, bevor der erste Assistent entsteht.“ Unter dem Formular führt „Sie haben bereits ein Konto?“ mit Anmelden zur Anmeldung.

Geführt wird die Grundform Ihrer Adresse: ohne Leerraum am Rand, klein geschrieben und ohne den Zusatz hinter einem Plus, bei einigen großen Postfach-Anbietern zusätzlich ohne Punkte vor dem @. Aus Max.Muster+shop@example.com wird so max.muster@example.com. Eine Domain mit Umlauten wird in ihrer ASCII-Form geführt, aus info@müller-bau.invalid wird info@xn--mller-bau-q9a.invalid; anmelden können Sie sich mit beiden Schreibweisen. Umlaute vor dem @ und eine Domain ohne Punkt nimmt XICBOT nicht an, weil an eine solche Adresse keine Nachricht zugestellt werden kann; das Feld meldet sie als ungültig. Eine Adresse, deren Teil vor dem @ in Anführungszeichen steht, bleibt unverändert. Ist die Grundform schon vergeben, lässt sich kein zweites Konto anlegen. Anmelden können Sie sich mit jeder Schreibweise, die auf dieselbe Grundform führt; die Bestätigung geht an die Grundform.

1. 1

   Schritt 1

   Prüfung im Browser

   Fehlt ein Pflichtfeld oder weichen die Passwörter voneinander ab, markiert die Seite die Felder und meldet „Bitte prüfen Sie die markierten Felder.“ Gesendet wird dann nichts.

2. 2

   Schritt 2

   Konto und Zugang entstehen

   Der Server prüft die Felder erneut. Es entstehen ein Konto mit dem Namen aus Firma oder Projekt und Ihr Zugang mit der Rolle Inhaber. Was die Rollen dürfen, steht unter Team und Rollen.

3. 3

   Schritt 3

   Bestätigungsmail

   An die Adresse geht ein Bestätigungslink, der 48 Stunden gilt. Scheitert der Versand, bleibt das Konto trotzdem bestehen, und die nächste Seite sagt das; eine neue Nachricht lässt sich nach der Anmeldung anfordern.

4. 4

   Schritt 4

   Seite Adresse bestätigen

   Die Anwendung wechselt auf Adresse bestätigen mit dem Text „Wir haben Ihnen einen Bestätigungslink geschickt. Öffnen Sie ihn, um Ihr Konto freizuschalten.“ Angemeldet sind Sie zu diesem Zeitpunkt noch nicht.

Meldungen beim Anlegen

Lehnt der Server ein Feld ab, steht die Meldung am Feld und setzt sich aus dem Feldnamen und einer Regel zusammen, etwa „E-Mail-Adresse ist bereits vergeben.“ oder „Passwort muss mindestens eine Ziffer enthalten.“ Über dem Formular steht dann „Bitte prüfen Sie die markierten Felder.“ Die Regeln lauten:

• „ist ein Pflichtfeld.“ - das Feld ist leer.
• „ist keine gültige E-Mail-Adresse.“
• „ist bereits vergeben.“
• „ist zu lang.“ und „ist zu kurz.“ - die Längengrenze aus der Tabelle ist überschritten oder nicht erreicht.
• „muss mindestens einen Buchstaben enthalten.“ und „muss mindestens eine Ziffer enthalten.“ - die Passwortregel ist verletzt.

Antwortet der Dienst nicht, erscheint „Der Dienst antwortet gerade nicht.“ Mehr als 5 Versuche je Minute oder 20 je Stunde von derselben Verbindung beantwortet die Seite mit „Zu viele Versuche. Bitte warten Sie einen Moment.“ Als Verbindung zählt bei IPv4 die einzelne Adresse, bei IPv6 das /64-Netz.

Adresse bestätigen

Der Link aus der Mail führt auf Adresse bestätigen mit dem Satz „Wir prüfen den Link aus der E-Mail und schalten das Konto frei.“ Er gilt 48 Stunden und nur einmal. Geht eine neu angeforderte Nachricht hinaus, verlieren ältere, noch nicht benutzte Links ihre Gültigkeit.

Unter jedem Zustand steht Anmelden. Das Bestätigen selbst meldet nicht an. Mehr als 30 Aufrufe je Minute von derselben Verbindung werden abgewiesen; diese Grenze teilt sich die Seite mit dem Speichern eines neuen Passworts.

Vor der Bestätigung

Anmelden lässt sich auch vor der Bestätigung. Die Anwendung zeigt dann das Band E-Mail-Adresse noch nicht bestätigt mit dem Text „Bis zur Bestätigung sind Assistenten, Wissen, Gespräche und Auswertung gesperrt. Öffnen Sie den Link aus unserer Nachricht - oder lassen Sie sie erneut schicken.“ Gesperrt sind darüber hinaus die übrigen Arbeitsbereiche, etwa Einrichtung, Werkzeuge, Team und Abrechnung; dort erscheint „Dieser Bereich bleibt gesperrt, bis die E-Mail-Adresse bestätigt ist.“ Nutzbar bleiben Abmelden und die Kontoeinstellungen unter Konto und Sicherheit: Passwort, zweite Stufe, Angemeldete Geräte und Letzte Anmeldungen. Ab der Rolle Verwaltung lassen sich außerdem API-Schlüssel und Webhooks anlegen und ändern, sofern das Paket die Schnittstelle umfasst; vorhandene lassen sich auch ohne die Schnittstelle im Paket zurückziehen und löschen. Auch eine Team-Einladung lässt sich vor der Bestätigung annehmen; die Adresse gilt danach als bestätigt.

Jeder neue Link gilt wieder 48 Stunden; ältere, noch unbenutzte Links verfallen im selben Moment. Geht die Nachricht nicht hinaus, entsteht kein neuer Link, und ein bisheriger, noch gültiger Link bleibt gültig.

Anmelden

Die Seite Anmelden beginnt mit „Melden Sie sich mit Ihrer E-Mail-Adresse an. Ist die zweite Stufe aktiv, folgt danach der Einmalcode.“

Unter dem Formular folgen „oder“, „Noch kein Konto?“ mit dem Knopf Konto anlegen und der Verweis Barrierefreiheit. Nach erfolgreicher Anmeldung öffnet die Seite, von der der Weg zur Anmeldung kam: eine aufgerufene Adresse, etwa aus einer Mail oder einem Lesezeichen, die Seite, auf der die Sitzung endete, oder eine offene Einladung. Der Zusatz ?sprache= fällt dabei weg. Nach dem eigenen Abmelden und wenn eine Übernahme endet, gibt es keinen Rücksprung; ohne Ziel öffnet die Startseite der Anwendung.

Die zweite Stufe

1. 1

   Schritt 1

   Passwort geprüft

   Ist für den Zugang eine zweite Stufe eingerichtet, prüft der Server zuerst Adresse und Passwort. Stimmen beide, verschwindet das Passwortfeld; das Passwort wird nicht noch einmal gesendet.

2. 2

   Schritt 2

   Code oder Schlüssel

   Die Seite verlangt „Bitte den Code aus Ihrer Authentifizierungs-App eingeben.“ oder, wenn nur ein Sicherheitsschlüssel eingerichtet ist, „Bitte bestätigen Sie die Anmeldung an Ihrem Sicherheitsschlüssel.“ Ist beides eingerichtet, steht der Hinweis auf den Code da und beide Wege werden angeboten.

3. 3

   Schritt 3

   Frist

   Die zweite Stufe gilt 10 Minuten, nur von derselben Verbindung aus und für höchstens 5 Fehlversuche. Danach erscheint „Die Anmeldung ist abgelaufen. Bitte geben Sie Ihr Passwort erneut ein.“ und die Anmeldung beginnt von vorn.

4. 4

   Schritt 4

   Ohne Gerät

   Unter dem Formular steht „Gerät nicht zur Hand?“. Hat das Konto noch Wiederherstellungscodes, nennt der Hinweis diesen Weg und für den Fall, dass keiner mehr übrig ist, die Adresse mail@xicbot.de; sonst nur die Adresse. Nach einer Prüfung kann die zweite Stufe des Kontos zurückgesetzt werden.

Authentifizierungs-App und Sicherheitsschlüssel richten Sie unter Konto und Sicherheit ein.

Meldungen bei der Anmeldung

Grenzen für Fehlversuche

• Je Adresse und Verbindung: 5 Fehlversuche je Minute und 20 je Stunde. Falsche Codes zählen mit. Eine erfolgreiche Anmeldung setzt diesen Zähler zurück.
• Je Verbindung über alle Adressen: 30 Fehlversuche je Minute und 300 je Stunde. Hier zählen falsche Passwörter und unbekannte Adressen. Eine erfolgreiche Anmeldung setzt diesen Zähler nicht zurück.
• Als Verbindung gilt bei IPv4 die einzelne Adresse, bei IPv6 das /64-Netz.

Die Sperre trifft die Verbindung, von der die Fehlversuche kommen, nicht den Zugang: wer von einer anderen Verbindung mit dem richtigen Passwort kommt, kann sich weiter anmelden. Die Schnittstelle nennt die Wartezeit in Sekunden im Feld retry_in.

Sitzung und Abmelden

Jede Anmeldung gilt 30 Tage. Abmelden steht rechts in der Kopfleiste; was dort sonst steht, beschreibt Kopfleiste.

• Die Anmeldung liegt im Speicher des Browsers und übersteht das Schließen von Tab und Browser. Sie endet nach 30 Tagen, mit Abmelden, mit dem Zurücksetzen des Passworts oder wenn das Passwort auf einem anderen Gerät geändert wird.
• Abmelden beendet nur die Anmeldung in diesem Browser; andere Geräte bleiben angemeldet. Im Browser wird die Anmeldung auch dann entfernt, wenn der Server sie schon verworfen hat. Danach öffnet die Seite Anmelden.
• Alle Tabs desselben Browsers teilen eine Anmeldung. Wird in einem Tab abgemeldet oder über den Link ein neues Passwort für den angemeldeten Zugang gesetzt, zeigen die anderen „Die Sitzung wurde in einem anderen Fenster beendet. Bitte melden Sie sich erneut an.“; meldet sich ein Tab an, übernehmen die anderen diese Anmeldung.
• Weist der Server eine Anmeldung zurück, etwa nach Ablauf der 30 Tage, erscheint „Ihre Sitzung ist abgelaufen. Bitte melden Sie sich erneut an.“ auf der Seite Anmelden, in diesem Tab und ebenso in den anderen Tabs desselben Browsers. Die Zurückweisung beendet nur die Anmeldung, mit der die Anfrage gestellt wurde: wurde in einem anderen Tab inzwischen neu angemeldet, bleibt diese neue Anmeldung bestehen.
• Der Status des Kontos wird bei jeder Anfrage geprüft. Ist es gesperrt, erscheint „Dieses Konto ist gesperrt. Bitte schreiben Sie an mail@xicbot.de.“
• Eine stündliche Wartung löscht abgelaufene Anmeldungen, abgelaufene Links zum Zurücksetzen und abgelaufene, nicht eingelöste Bestätigungslinks. Eine eingelöste Bestätigung bleibt als Nachweis erhalten.

Welche Geräte angemeldet sind, zeigt Konto und Sicherheit.

Konto wechseln

Gehört Ihr Zugang zu mehr als einem Konto, wechseln Sie über Konto wechseln in der Kopfleiste. Die Rolle gilt je Konto, und der Wechsel gilt für den ganzen Zugang, auch auf anderen Geräten. Wie die Liste aussieht, was beim Wechsel geschieht und welche Grenzen gelten, steht unter Konto wechseln.

Wie Rollen vergeben werden, steht unter Team und Rollen.

Passwort vergessen

Passwort vergessen? auf der Anmeldeseite führt zu Passwort zurücksetzen: „Wir senden einen Link an die hinterlegte Adresse, mit dem Sie ein neues Passwort setzen können.“

1. 1

   Schritt 1

   Adresse eingeben

   „Geben Sie die E-Mail-Adresse ein, mit der Sie sich anmelden.“ Das Feld E-Mail-Adresse ist Pflicht, der Knopf heißt Link anfordern.

2. 2

   Schritt 2

   Bestätigung

   Die Seite antwortet „Besteht zu dieser Adresse ein Konto, ist der Link unterwegs. Er gilt 60 Minuten und lässt sich nur einmal verwenden.“ - ob ein Konto besteht oder nicht. Geht eine neue Nachricht hinaus, ersetzt sie den vorigen Link.

3. 3

   Schritt 3

   Grenzen

   Mehr als 3 Anforderungen je Stunde für dieselbe Adresse von derselben Verbindung oder mehr als 20 je Stunde von derselben Verbindung über alle Adressen beantwortet die Seite mit „Zu viele Versuche. Bitte warten Sie einen Moment.“ Je Postfach gehen höchstens 10 Nachrichten je Stunde hinaus; darüber hinaus antwortet die Seite unverändert, verschickt aber nichts, und der zuletzt zugestellte Link bleibt gültig.

Zurück zur Anmeldung führt wieder auf Anmelden.

Neues Passwort setzen

Der Link aus der Mail öffnet Neues Passwort: „Vergeben Sie ein neues Passwort. Alle offenen Sitzungen dieses Kontos werden dabei beendet.“ Die Felder heißen Passwort und Passwort wiederholen, es gilt dieselbe Regel wie beim Anlegen, der Knopf heißt Passwort speichern.

Zurück zur Anmeldung steht in jedem Zustand unter dem Formular.

Team-Einladung annehmen

Wer eingeladen wird, bekommt eine Mail mit einem Link auf /einladung. Die Einladung gilt 7 Tage und trägt eine der Rollen Lesen, Bearbeiten oder Verwaltung; Inhaber wird übertragen, nicht eingeladen. Die Seite Einladung annehmen beginnt mit „Dieser Link führt in ein Team. Legen Sie dafür ein Passwort fest - Ihre Adresse steht schon fest und lässt sich hier nicht ändern.“ Darunter steht eine Zeile aus Team, eingeladener Adresse und Rolle; fehlt der Teamname, steht dort Team.

Scheitert nach dem Annehmen der Wechsel in das einladende Konto oder, wenn danach Team öffnen soll, das Laden der Sitzung, bleibt „Sie gehören jetzt zum Team.“ stehen, und Übersicht führt weiter; der Verweis lädt die Anwendung neu. Die Einladung ist dann bereits angenommen und lässt sich kein zweites Mal annehmen. Mehr als 20 Aufrufe je Minute von derselben Verbindung werden abgewiesen. Einladen und Einladungen zurücknehmen beschreibt Team und Rollen.

Über die Schnittstelle

Alle Schritte dieser Seite laufen über die Schnittstelle unter https://app.xicbot.de/api/v1/. Angemeldete Aufrufe tragen das Token im Kopf Authorization: Bearer …. Einzelheiten stehen unter API-Anmeldung, API: Konto und API-Grenzen.

Häufige Fragen