Security Hardening: Proaktive Kontosperren, Fail2Ban-Integration, SecurityLogger, Alerting und API-Schutz

public/docs/changelog.json

@@ -1,8 +1,44 @@
 {
   "_comment": "Einzige Quelle der Wahrheit fuer den Changelog. Wird von /docs/changelog.php gerendert und von GET /api/updateservice/v1/changelog?since=X ausgeliefert. Neue Eintraege oben einfuegen.",
   "schema": 1,
-  "current": "2.8.1",
+  "current": "2.8.2",
   "versions": [
+    {
+      "version": "2.8.2",
+      "date": "2026-09-08",
+      "summary": "Sicherheits-Hardening: Proaktive Kontosperren nach 5 Fehlversuchen, Fail2Ban-Integration mit standardisiertem SecurityLogger, Rocket.Chat- und Webhook-Alarmierung bei Angriffen und Token-Brute-Force-Schutz für die API.",
+      "actionRequired": true,
+      "changes": [
+        {
+          "area": "auth",
+          "breaking": false,
+          "title": "Proaktive Accountsperren nach 5 Fehlversuchen",
+          "text": "dc_users fuehrt jetzt failed_login_count und locked_until (Migration 018). Nach fuenf aufeinanderfolgenden Fehlversuchen wird das Konto fuer 15 Minuten gesperrt. Gilt fuer das WebUI und die Setup-API. Erfolgreicher Login setzt den Zaehler zurueck; Administratoren koennen Konten im WebUI unter System -> Benutzer mit einem Klick entsperren.",
+          "action": null
+        },
+        {
+          "area": "security",
+          "breaking": false,
+          "title": "Fail2Ban-Standardisierung und dedizierter SecurityLogger",
+          "text": "Sicherheitsereignisse (AUTH_FAIL, ACCOUNT_LOCKED, IP_LOCKED, API_AUTH_FAIL, API_BRUTE_FORCE, RATE_LIMITED) werden im standardisierten Format in var/log/security.log geschrieben. Vorkonfigurierte Filter- und Jail-Dateien sowie Dokumentation liegen unter config/fail2ban/ und docs/FAIL2BAN.md bereit.",
+          "action": "Auf dem Host-Server den Fail2Ban-Filter deploymentcenter.conf und die Jail hinterlegen."
+        },
+        {
+          "area": "notify",
+          "breaking": false,
+          "title": "Rocket.Chat- und Webhook-Alarmierung bei Angriffen",
+          "text": "Wird ein Konto oder eine IP gesperrt oder ein Brute-Force-Angriff auf die API erkannt, erfolgt sofort eine Benachrichtigung im Rocket.Chat Alarm-Kanal (#DC-Alerts) sowie ueber das Webhook-Event security.lockout bzw. security.attack. Ein 15-Minuten-Cooldown verhindert Alert-Spam.",
+          "action": null
+        },
+        {
+          "area": "api",
+          "breaking": false,
+          "title": "API-Hardening und zentraler Core RateLimiter",
+          "text": "ApiAuth drosselt wiederholte ungueltige Token-Uebermittlungen pro IP (HTTP 429 bei >20 Fehlern in 5 Minuten). Ein universeller Core\\RateLimiter sichert Endpunkte ueber die neue Tabelle dc_rate_limits ab.",
+          "action": null
+        }
+      ]
+    },
     {
       "version": "2.8.1",
       "date": "2026-08-31",