feat(access): document consequential credential controls

src/govoplan_access/__init__.py

@@ -1,3 +1,3 @@
 """GovOPlaN access platform module."""
 
-__version__ = "0.1.22"
+__version__ = "0.1.23"

src/govoplan_access/backend/manifest.py

@@ -862,6 +862,44 @@ ACCESS_DOCUMENTATION: tuple[DocumentationTopic, ...] = (
             ],
         },
     ),
+    DocumentationTopic(
+        id="access.reference.authentication-fields",
+        title="Authentication and password fields",
+        summary="Understand which credentials are used for interactive sign-in, initial account enrollment, administrative re-authorization, and automation.",
+        body=(
+            "The sign-in email identifies the account and the password authenticates only that account. Initial passwords entered by administrators are transmitted only for account creation; leaving the field empty asks the server to generate a one-time temporary password. Requiring a password change prevents that temporary credential from becoming the long-term credential. Current-password prompts re-authorize a sensitive action and never target the selected user's password. The automation API key in local settings is used only when no interactive browser session token is available; it should be a narrowly scoped, revocable key and must not be shared with other users. Generated passwords are not applied until Use password is selected."
+        ),
+        layer="always",
+        documentation_types=("admin", "user"),
+        audience=("user", "tenant_admin", "access_admin", "operator"),
+        order=29,
+        conditions=(DocumentationCondition(required_modules=("access",)),),
+        links=(
+            DocumentationLink(label="Sign in", href="/", kind="runtime"),
+            DocumentationLink(label="Access administration", href="/admin", kind="runtime"),
+            DocumentationLink(label="Local connection settings", href="/settings", kind="runtime"),
+        ),
+        translations={
+            "de": {
+                "title": "Authentifizierungs- und Passwortfelder",
+                "summary": "Einordnen, welche Zugangsdaten für die interaktive Anmeldung, die erste Kontoeinrichtung, die erneute administrative Autorisierung und Automatisierung verwendet werden.",
+                "body": (
+                    "Die Anmelde-E-Mail identifiziert das Konto; das Passwort authentifiziert ausschließlich dieses Konto. Von Administrierenden eingegebene Anfangspasswörter werden nur zur Kontoerstellung übertragen. Bleibt das Feld leer, erzeugt der Server ein einmaliges temporäres Passwort. Die Pflicht zum Passwortwechsel verhindert, dass diese temporäre Zugangsdaten dauerhaft verwendet werden. Die Abfrage des aktuellen Passworts autorisiert eine sensible Aktion erneut und meint niemals das Passwort der ausgewählten Person. Der Automatisierungs-API-Schlüssel in den lokalen Einstellungen wird nur verwendet, wenn kein interaktives Browser-Sitzungstoken verfügbar ist; er sollte eng begrenzt, widerrufbar und nicht mit anderen Personen geteilt sein. Generierte Passwörter werden erst mit „Passwort verwenden“ übernommen."
+                ),
+            }
+        },
+        metadata={
+            "kind": "reference",
+            "help_contexts": [
+                "access.authentication.email",
+                "access.authentication.password",
+                "access.settings.automation-api-key",
+                "access.admin.system-users.initial-password",
+                "access.admin.tenant-users.initial-password",
+                "access.admin.tenant-users.require-password-change",
+            ],
+        },
+    ),
     DocumentationTopic(
         id="access.workflow.grant-user-access",
         title="Grant a person access",
@@ -1531,6 +1569,7 @@ ACCESS_DOCUMENTATION: tuple[DocumentationTopic, ...] = (
                 "access.sessions.action.revoke",
                 "access.sessions.action.revoke-others",
                 "access.admin.user-sessions",
+                "access.sessions.field.current-password",
             ],
             "api_paths": [
                 "/api/v1/auth/sessions",
@@ -1921,7 +1960,7 @@ def _people_search(context: ModuleContext) -> object:
 manifest = ModuleManifest(
     id="access",
     name="Access",
-    version="0.1.22",
+    version="0.1.23",
     optional_dependencies=("identity", "organizations", "tenancy", "idm"),
     provides_interfaces=(
         ModuleInterfaceProvider(name=CAPABILITY_ACCESS_PEOPLE_SEARCH, version="0.1.0"),