„Token not provided“ nach einer Zwei-Faktor-Authentifizierung
Die Meldung meint nicht Ihren sechsstelligen Code, sondern das Anti-CSRF-Token von Dolibarr. Was der Code der 23.0.3 sagt und wo die Diagnose ansetzt.
Sie melden sich an, die Zwei-Faktor-Authentifizierung klappt, und beim ersten Herunterladen eines Dokuments zeigt Dolibarr „Token not provided“ an. Die Meldung spricht von einem Token, man denkt sofort an den sechsstelligen Code. Das ist nicht dasselbe Token.
Um welches Token es geht
Dolibarr schützt seine Formulare gegen seitenübergreifende Anfragefälschung — CSRF. Das Prinzip: Jede Seite erzeugt ein Token, und jede sensible Aktion muss es zurücksenden. Kommt eine Anfrage ohne dieses Token an, lehnt Dolibarr sie ab, und genau das sagt die Meldung.
Das betroffene Token hat also nichts mit Ihrem sechsstelligen Code zu tun: Es ist ein Seiten-Token, unsichtbar, an Ihre Sitzung gebunden. Es fehlt, weil die Anfrage, die die Download-Seite erreicht, nicht von der Seite ausgegangen ist, die sie signiert hätte.
Ein überraschender Punkt
Der Kern von Dolibarr 23 enthält keine funktionsfähige Zwei-Faktor-Authentifizierung. Wenn Sie eine haben, stammt sie aus einem Drittmodul. Das ist wichtig für die Diagnose: Das beobachtete Verhalten hängt dann von diesem Modul ab, nicht nur von Dolibarr — und dort sollte man mit der Suche beginnen.
Was geprüft wurde
- Code der 23.0.3 gelesen: gemeinsamer Einstiegspunkt der Seiten, Sicherheitsfunktionen, Verwaltung der Anmeldedaten.
- Vergleich des Codes zwischen 23.0.3 und 23.0.4: In diesem Punkt hat sich nichts geändert. Ein Update auf 23.0.4 allein löst das Problem also nicht.
Der Fall eines bestimmten Benutzers wurde nicht reproduziert: Die eigentliche Ursache hängt von seiner Installation und seinem Modul für die Zwei-Faktor-Authentifizierung ab. Was folgt, ist eine Methode, keine Ferndiagnose.
Wo man das Problem anpackt
- Das installierte Modul für die Zwei-Faktor-Authentifizierung und seine Version ermitteln.
- Es für einen Test deaktivieren: Verschwindet der Fehler, liegt das Thema dort und nicht im Kern.
- Prüfen, wovon die fehlschlagende Anfrage ausgeht. Ein eingefügter Link, ein Lesezeichen, ein automatisierter Aufruf oder eine seit Langem geöffnete Seite haben kein gültiges Token.
Was man nicht tun sollte
Online finden sich Ratschläge, die darauf hinauslaufen, die Anti-CSRF-Prüfung zu deaktivieren, um die Meldung zum Schweigen zu bringen. Das heißt, ein Schloss auszubauen, weil man den Schlüssel verloren hat. Die Prüfung macht genau ihre Arbeit: Die richtige Frage ist, warum eine Anfrage ohne Token ankommt, nicht, wie man verhindert, dass Dolibarr es bemerkt.