Matrix Server Cloudflare 2FA

Den Matrix Server Cloudflare 2FA abzusichern ist nicht schwer, benötigt aber etwas Aufwand. Hier das cloudflare.com Setup.

Der eigentliche Aufwand besteht nur in der Einrichtung des Cloudflare Tunnels, über den die Anwendungen geroutet werden. Bei mir läuft inzwischen nahezu alles über Cloudflare. Das sorgt nicht nur für eine hohe Zuverlässigkeit, sondern erhöht auch die Sicherheit.

In diesem Beitrag wird ausschließlich die Konfiguration von Matrix/Element gezeigt.

Falls du Cloudflare noch nicht eingerichtet hast und dies nachholen möchtest, folge einfach diesem Beitrag. Dort findest du eine ausführliche Schritt-für-Schritt-Anleitung.

NAT? Deine WEB-Seite Hosten

Der Beitrag ist zwar nicht mehr ganz taufrisch, und die Benutzeroberfläche von Cloudflare hat sich inzwischen etwas verändert, aber man kommt damit immer noch gut durch die Einrichtung. Ich werde den Beitrag aktualisieren, sobald ich etwas Zeit dafür finde.

Matrix-Server (Synapse) – Nachrichtenserver

Der Nachrichtenserver ist das eigentliche Herzstück des Systems. Über ihn werden alle Nachrichten ausgetauscht, versendet und empfangen. Die Weboberfläche greift direkt auf diesen Server zu.

Eine Absicherung per 2FA wäre zwar über ein Service-Token oder auch mithilfe entsprechender Regeln möglich, entspricht jedoch nicht der Praxis und kann teilweise zu Zugriffsproblemen führen.

Element-Server – Weboberfläche

Der Element-Server verfügt bereits über eine eigene Geräteverwaltung sowie eine integrierte Ende-zu-Ende-Verschlüsselung und kann grundsätzlich als sicher betrachtet werden. Dennoch gibt es in einigen Bereichen noch Verbesserungspotenzial. An entsprechenden Erweiterungen wird bereits gearbeitet. Den aktuellen Entwicklungsstand kannst du auf GitHub verfolgen.

Im folgenden Video zeige ich dir, wie du den Element-Server zusätzlich mit einer Zwei-Faktor-Authentifizierung absicherst – in diesem Beispiel mit E-Mail-OTP und einem Passkey.

2FA-Alternative

Eine dritte Möglichkeit besteht darin, eine eigene Docker-Instanz mit einem lokalen 2FA-System wie Authelia einzurichten. Diese Variante behandeln wir ausführlich in einem separaten Video.

Cloudflare Zero Trust: Passkey-Login für eigene Webseiten richtig einrichten

Wer seine Webseite oder das WordPress-Login über Cloudflare Access absichern möchte, steht oft vor einer Hürde: Die Anmeldung per Fingerabdruck, Touch ID oder YubiKey (Passkey) schlägt fehl oder die E-Mail-Adresse wird ständig abgefragt.

Mit diesen drei Schritten stellen Sie Cloudflare Zero Trust korrekt ein:

1. Eine Anwendung erstellen

Gehe in Cloudflare Zero Trust zu Anwendungen → Neue Anwendung.

Wähle Selbst gehostet und privat und klicke anschließend auf Fortfahren mit „Selbst gehostet und privat“.

Konfiguriere anschließend die Anwendung:

• Subdomain: element
• Domäne: deine Domain, z. B. deine-domain.com
• Pfad: leer lassen

Authentifizierung (Identität)

• Alle Identitätsanbieter akzeptieren: Ein
• Alle übrigen Einstellungen unverändert lassen.

Authentifizierung (MFA)

• MFA-Einstellungen anpassen auswählen.
• MFA-Methode: Biometrie und Sicherheitsschlüssel
• Authentifizierungsdauer: Benutzerdefiniert
• 720 Stunden (1 Monat) eintragen.

Neue Richtlinie erstellen

Klicke auf Neue Richtlinie erstellen.

• Selector: E-Mail
• In der Zeile darunter alle E-Mail-Adressen eintragen, die Zugriff erhalten sollen.
• Richtlinienname: z. B. Element Passkey
• Richtlinien-Sitzungsdauer: 1 Monat
• MFA-Einstellungen anpassen auswählen.
• MFA-Methode: Biometrie und Sicherheitsschlüssel
• Authentifizierungsdauer: Benutzerdefiniert
• 720 Stunden (1 Monat)

Anschließend auf Speichern klicken und den Dialog Richtlinie schließen.

Zum Schluss erneut auf Speichern klicken und den Dialog Anwendung hinzufügen verlassen.

1. Den App Launcher aktivieren (Die Voraussetzung)

Der App Launcher ist Ihre persönliche Verwaltungszentrale bei Cloudflare. Ist er deaktiviert, erhalten Sie beim Aufruf eine Fehlermeldung und können keine Passkeys hinterlegen.

• So geht’s: Im Cloudflare Zero Trust Dashboard links auf Zugriffsteuerung > Access-Einstellungen klicken.
• App Launcher rechts daneben auf „Verwalten“ klicken
• Selector: E-Mail
• In der Zeile darunter alle E-Mail-Adressen eintragen, die Zugriff erhalten sollen.
• Richtlinienname: z. B. Element Passkey
• Richtlinien-Sitzungsdauer: 1 Monat
• MFA-Einstellungen anpassen auswählen.
• MFA-Methode: Biometrie und Sicherheitsschlüssel
• Authentifizierungsdauer: Benutzerdefiniert
• 720 Stunden (1 Monat)

2. Passkey / Biometrie als MFA freischalten

Damit das System Passkeys überhaupt als Authentifizierung akzeptiert, müssen diese zentral erlaubt werden.

• So geht’s: Unter Zugriffssteuerung  > Access-Einstellungen  zum Abschnitt MFA options scrollen. Vergewissern Sie sich, dass Biometrics und Sicherheitsschlüssel (Touch ID, Windows Hello, Face ID) auf Enabled steht.

3. Worauf Sie unbedingt achten müssen

• Einmalige Einrichtung: Rufen Sie Ihre persönliche Cloudflare-URL ([https://ihr-name.cloudflareaccess.com](https://ihr-name.cloudflareaccess.com)) auf. Loggen Sie sich ein letztes Mal per E-Mail-Code ein, klicken Sie oben rechts auf Ihr Profil / Account und fügen Sie unter MFA devices Ihren Passkey hinzu.

In diesem Beispiel habe ich die Sitzungsdauer überall auf einen Monat eingestellt. Eine längere Sitzungsdauer lässt Cloudflare derzeit nicht zu.

Die MFA-Optionen – beispielsweise Authenticator-App, Sicherheitsschlüssel, Passkey oder andere Verfahren – kannst du ganz nach deinen eigenen Anforderungen auswählen und anpassen.

---

---

#Cloudflare #ZeroTrust #Passkey #CyberSecurity #WebDesign