Microsoft-Login-Link für Intranet-Portale

Was ist der Microsoft-Login-Link?

Du kannst deine Mitarbeiterinnen und Mitarbeiter aus einem Intranet-Portal oder über ein Browser-Lesezeichen direkt zur Microsoft-Anmeldung leiten:

• https://app.timebutler.com/login?sso=microsoft

• https://app.timebutler.com/login?sso=microsoft&login=name@example.com

• Direkter Aufruf: Der Link überspringt das normale Timebutler-Anmeldeformular.
• Konto-Vorauswahl (optional): Wenn du den Parameter login=name@example.com anhängst, wählt Microsoft dieses Konto automatisch aus.
• Nahtlose Anmeldung: Ist ein Nutzer im Browser bereits bei Microsoft angemeldet, landet er mit nur einem Klick direkt in Timebutler. Das Intranet-Portal muss dabei kein Timebutler-Passwort kennen oder speichern.

Voraussetzung:
Die Microsoft-E-Mail-Adresse muss mit der in Timebutler hinterlegten Login-E-Mail-Adresse übereinstimmen. Alternativ kannst du das Microsoft-Konto vorab unter “Einstellungen > Integration” verknüpfen. Mehr dazu erfährst du im Artikel Single Sign On (SSO) mit Microsoft, Google, Slack, Oauth und Azure.

Warum gibt es diese Funktion? (CSRF-Schutz)

Timebutler schützt Daten mit erweiterten Sicherheitsmaßnahmen gegen sogenannte Cross-Site Request Forgery (CSRF). Bei einem CSRF-Angriff versucht eine fremde Website, im Namen eines angemeldeten Nutzers Anfragen an Timebutler zu senden. Timebutler lehnt POST-Anfragen, die von einer anderen Website stammen, konsequent ab (HTTP 403, geprüft über den Origin- bzw. Referer-Header). Das Session-Cookie ist außerdem als SameSite=Lax eingestellt.

Manche Intranet-Portale haben Nutzer bisher über ein Formular angemeldet, das Benutzernamen und Passwort per POST-Anfrage an Timebutler geschickt hat. Für den Browser sieht das genauso aus wie ein CSRF-Angriff – deshalb wird diese Methode jetzt blockiert.

Der neue Microsoft-Login-Link ersetzt dieses alte Verfahren:

• Es ist ein einfacher Link (GET-Anfrage), der nicht vom CSRF-Schutz blockiert wird.
• Das Portal kann den OAuth-Login-Link nicht selbst zusammenbauen: Timebutler bindet den OAuth-State-Wert direkt an die jeweilige Browser-Sitzung des Nutzers und akzeptiert die Antwort von Microsoft nur, wenn beide Werte übereinstimmen. Der Link startet die Anmeldung also sicher auf dem Timebutler-Server im Browser des Nutzers und leitet erst dann zu Microsoft weiter.

Sicherheitshinweise

• Keine Passwörter im Portal: Das Intranet-Portal speichert keine Passwörter und der Link enthält keine geheimen Daten.
• Kein Open Redirect: Der Link leitet immer an die feste Anmeldeadresse von Microsoft weiter.