Autenticació¶

Registre d’usuari¶

La configuració predeterminada de Weblate és utilitzar python-social-auth, un formulari del lloc web per gestionar el registre de nous usuaris. Després de confirmar el seu correu electrònic, un nou usuari pot contribuir o autenticar-se mitjançant un dels serveis de tercers.

També podeu desactivar el registre d’usuaris nous mitjançant REGISTRATION_OPEN.

Els intents d’autenticació estan subjectes a Limitació de tarifes.

Backends d’autenticació¶

Weblate confia en Django per a l’autenticació. Això inclou l’autenticació integrada basada en contrasenyes, l’autenticació social i els backends d’autenticació de tercers per a Django.

L’ús de l’autenticació integrada de Django significa que podeu importar la base de dades d’usuaris d’altres projectes basats en Django (vegeu Migrant des de Pootle).

Vegeu també

Configuració d’autenticació descriu com configurar l’autenticació a la imatge oficial de Docker.

Autenticació de contrasenya¶

El settings.py predeterminat inclou un conjunt raonable de AUTH_PASSWORD_VALIDATORS que garanteix que no es permetin contrasenyes febles. Podeu personalitzar aquesta configuració perquè coincideixi amb la vostra política de contrasenyes.

A més, també podeu instal·lar django-zxcvbn-password-validator que ofereix estimacions força realistes de la dificultat de la contrasenya i permet rebutjar contrasenyes per sota d’un determinat llindar.

Vegeu també

Autenticació SAML¶

Afegit a la versió 4.1.1.

Canviat a la versió 5.12: Les dependències per a l’autenticació SAML ja no s’inclouen als extres per defecte tots. Heu d’incloure saml mentre instal·leu el paquet Weblate amb pip (uv pip install Weblate[all,saml]).

Si us plau, seguiu les instruccions d’autenticació social de Python per a la configuració. Diferències notables:

Weblate admet IDP únic que s’ha d’anomenar weblate a SOCIAL_AUTH_SAML_ENABLED_IDPS.
L’URL de metadades XML de SAML és /accounts/metadata/saml/, que també és un identificador d’entitat.
L’URL d’inici de sessió és /accounts/complete/saml/ (també conegut com a URL ACS).
La configuració següent s’omple automàticament: SOCIAL_AUTH_SAML_SP_ENTITY_ID, SOCIAL_AUTH_SAML_TECHNICAL_CONTACT, SOCIAL_AUTH_SAML_SUPPORT_CONTACT

Exemple de configuració:

# Authentication configuration
AUTHENTICATION_BACKENDS = (
    "social_core.backends.email.EmailAuth",
    "social_core.backends.saml.SAMLAuth",
    "weblate.accounts.auth.WeblateUserBackend",
)

# Social auth backends setup
SOCIAL_AUTH_SAML_SP_ENTITY_ID = f"https://{SITE_DOMAIN}/accounts/metadata/saml/"
SOCIAL_AUTH_SAML_SP_PUBLIC_CERT = "-----BEGIN CERTIFICATE-----"
SOCIAL_AUTH_SAML_SP_PRIVATE_KEY = "-----BEGIN PRIVATE KEY-----"
SOCIAL_AUTH_SAML_ENABLED_IDPS = {
    "weblate": {
        "entity_id": "https://idp.testshib.org/idp/shibboleth",
        "url": "https://idp.testshib.org/idp/profile/SAML2/Redirect/SSO",
        "x509cert": "MIIEDjCCAvagAwIBAgIBADA ... 8Bbnl+ev0peYzxFyF5sQA==",
    }
}
SOCIAL_AUTH_SAML_ORG_INFO = {
    "en-US": {
        "name": "example",
        "displayname": "Example Inc.",
        "url": "http://example.com"
    }
}
SOCIAL_AUTH_SAML_TECHNICAL_CONTACT = {
    "givenName": "Tech Gal",
    "emailAddress": "technical@example.com"
}
SOCIAL_AUTH_SAML_SUPPORT_CONTACT = {
    "givenName": "Support Guy",
    "emailAddress": "support@example.com"
}

Podeu generar un nou parell de claus utilitzant:

openssl req -newkey rsa:4096 -new -x509 -days 3652 -nodes -out saml.crt -keyout saml.key

La configuració predeterminada extreu els detalls de l’usuari dels atributs següents, configureu el vostre IdP per proporcionar-los:

Attribute	SAML URI reference
Nom complet	`urn:oid:2.5.4.3`
First name	`urn:oid:2.5.4.42`
Last name	`urn:oid:2.5.4.4`
Adreça electrònica	`urn:oid:0.9.2342.19200300.100.1.3`
Nom d’usuari	`urn:oid:0.9.2342.19200300.100.1.1`

Quan configureu Weblate SP al vostre IdP, es recomana triar Format d’ID de nom persistent.

Suggeriment

Some identity providers (such as Microsoft Entra ID with multi-factor authentication) require disabling the default requestedAuthnContext in the SAML security configuration:

SOCIAL_AUTH_SAML_SECURITY_CONFIG = {"requestedAuthnContext": False}

In Docker, set WEBLATE_SAML_SECURITY_CONFIG instead.

Suggeriment

L’exemple anterior i la imatge de Docker defineixen un IdP anomenat weblate. És possible que hàgiu de configurar aquesta cadena com a Relay al vostre IdP.

Nota

L’autenticació de Weblate es basa en el paràmetre RelayState que s’ha de passar pel procés d’autenticació. Això s’ha de configurar amb alguns proveïdors d’identitat:

Com enviar un RelayState personalitzat amb Okta

Vegeu també

Autenticació LDAP¶

L’autenticació LDAP es pot aconseguir millor utilitzant el paquet django-auth-ldap. Podeu instal·lar-lo mitjançant els mitjans habituals:

# Using PyPI
uv pip install 'django-auth-ldap>=1.3.0'

# Using apt-get
apt-get install python-django-auth-ldap

Suggeriment

Aquest paquet està inclòs al contenidor de Docker, vegeu Instal·lació mitjançant Docker.

Nota

Hi ha algunes incompatibilitats al mòdul Python LDAP 3.1.0, que poden impedir que utilitzeu aquesta versió. Si obteniu l’error AttributeError: l’objecte “mòdul” no té l’atribut “_trace_level”, la baixada de python-ldap a 3.0.0 pot ajudar.

Un cop hàgiu instal·lat el paquet, podeu connectar-lo a l’autenticació de Django:

# Add LDAP backed, keep Django one if you want to be able to sign in
# even without LDAP for admin account
AUTHENTICATION_BACKENDS = (
    "django_auth_ldap.backend.LDAPBackend",
    "weblate.accounts.auth.WeblateUserBackend",
)

# LDAP server address
AUTH_LDAP_SERVER_URI = "ldaps://ldap.example.net"

# DN to use for authentication
AUTH_LDAP_USER_DN_TEMPLATE = "cn=%(user)s,o=Example"
# Depending on your LDAP server, you might use a different DN
# like:
# AUTH_LDAP_USER_DN_TEMPLATE = 'ou=users,dc=example,dc=com'

# List of attributes to import from LDAP upon sign in
# Weblate stores full name of the user in the full_name attribute
AUTH_LDAP_USER_ATTR_MAP = {
    "full_name": "name",
    # Use the following if your LDAP server does not have full name
    # Weblate will merge them later
    # 'first_name': 'givenName',
    # 'last_name': 'sn',
    # Email is required for Weblate (used in VCS commits)
    "email": "mail",
}
# Optional: route "Forgot your password?" to your LDAP self-service page
PASSWORD_RESET_URL = "https://id.example.net/password-reset/"


# Hide the registration form
REGISTRATION_OPEN = False

Nota

Hauríeu d’eliminar 'social_core.backends.email.EmailAuth' de la configuració AUTHENTICATION_BACKENDS, en cas contrari els usuaris podran establir la seva contrasenya a Weblate i autenticar-se utilitzant-la. Mantenir 'weblate.accounts.auth.WeblateUserBackend' encara és necessari per obtenir permisos i facilitar usuaris anònims. També us permetrà iniciar la sessió amb un compte d’administrador local, si l’heu creat (per exemple, utilitzant createadmin).

Utilitzant la contrasenya d’enllaç¶

Si no podeu utilitzar l’enllaç directe per a l’autenticació, haureu d’utilitzar la cerca i proporcionar un usuari per vincular-lo per a la cerca. Per exemple:

import ldap
from django_auth_ldap.config import LDAPSearch

AUTH_LDAP_BIND_DN = ""
AUTH_LDAP_BIND_PASSWORD = ""
AUTH_LDAP_USER_SEARCH = LDAPSearch(
    "ou=users,dc=example,dc=com", ldap.SCOPE_SUBTREE, "(uid=%(user)s)"
)

Active Directory integration¶

import ldap
from django_auth_ldap.config import LDAPSearch, NestedActiveDirectoryGroupType

AUTH_LDAP_BIND_DN = "CN=ldap,CN=Users,DC=example,DC=com"
AUTH_LDAP_BIND_PASSWORD = "password"

# User and group search objects and types
AUTH_LDAP_USER_SEARCH = LDAPSearch(
    "CN=Users,DC=example,DC=com", ldap.SCOPE_SUBTREE, "(sAMAccountName=%(user)s)"
)

# Make selected group a superuser in Weblate
AUTH_LDAP_USER_FLAGS_BY_GROUP = {
    # is_superuser means user has all permissions
    "is_superuser": "CN=weblate_AdminUsers,OU=Groups,DC=example,DC=com",
}

# Map groups from AD to Weblate
AUTH_LDAP_GROUP_SEARCH = LDAPSearch(
    "OU=Groups,DC=example,DC=com", ldap.SCOPE_SUBTREE, "(objectClass=group)"
)
AUTH_LDAP_GROUP_TYPE = NestedActiveDirectoryGroupType()
AUTH_LDAP_FIND_GROUP_PERMS = True

# Optionally enable group mirroring from LDAP to Weblate
# AUTH_LDAP_MIRROR_GROUPS = True

Vegeu també

Autenticació CAS¶

L’autenticació CAS es pot aconseguir mitjançant un paquet com Django CAS NG.

El primer pas és revelar el camp de correu electrònic de l’usuari mitjançant CAS. Això s’ha de configurar al propi servidor CAS i requereix que executeu almenys CAS v2, ja que CAS v1 no admet en absolut els atributs.

El segon pas és actualitzar Weblate per utilitzar el servidor CAS i els atributs.

Per instal·lar Django CAS NG:

uv pip install django-cas-ng

Un cop tingueu el paquet instal·lat, podeu connectar-lo al sistema d’autenticació de Django modificant el fitxer settings.py:

# Add CAS backed, keep the Django one if you want to be able to sign in
# even without LDAP for the admin account
AUTHENTICATION_BACKENDS = (
    "django_cas_ng.backends.CASBackend",
    "weblate.accounts.auth.WeblateUserBackend",
)

# CAS server address
CAS_SERVER_URL = "https://cas.example.net/cas/"

# Add django_cas_ng somewhere in the list of INSTALLED_APPS
INSTALLED_APPS = (..., "django_cas_ng")

Finalment, es pot utilitzar un senyal per assignar el camp de correu electrònic a l’objecte d’usuari. Perquè això funcioni, heu d’importar el senyal del paquet django-cas-ng i connectar el vostre codi amb aquest senyal. Fer-ho al fitxer de configuració pot causar problemes, per tant, es recomana posar-ho:

Al mètode django.apps.AppConfig.ready() de la configuració de l’aplicació
Al fitxer urls.py del projecte (quan no existeixen models)

from django_cas_ng.signals import cas_user_authenticated
from django.dispatch import receiver


@receiver(cas_user_authenticated)
def update_user_email_address(sender, user=None, attributes=None, **kwargs):
    # If your CAS server does not always include the email attribute
    # you can wrap the next two lines of code in a try/catch block.
    user.email = attributes["email"]
    user.save()

Configuració de l’autenticació de Django de tercers¶

En general, qualsevol connector d’autenticació de Django hauria de funcionar amb Weblate. Només cal que seguiu les instruccions del connector, només recordeu mantenir instal·lat el backend de l’usuari de Weblate.

Vegeu també

Autenticació LDAP
Autenticació CAS

Normalment, la instal·lació consistirà en afegir un backend d’autenticació a AUTHENTICATION_BACKENDS i instal·lar una aplicació d’autenticació (si n’hi ha) a INSTALLED_APPS:

AUTHENTICATION_BACKENDS = (
    # Add authentication backend here
    "weblate.accounts.auth.WeblateUserBackend",
)

INSTALLED_APPS += (
    # Install authentication app here
)

Autenticació de doble factor¶

Afegit a la versió 5.7.

Suggeriment

L’autenticació de dos factors afegeix una altra capa de seguretat al vostre compte ja que requereix més que una contrasenya per iniciar la sessió.

Weblate supports the following second factors:

Claus de seguretat (WebAuthn)

Both, Passkeys and security keys are supported.

Les claus d’accés validen la vostra identitat mitjançant el tacte, el reconeixement facial, la contrasenya del dispositiu o un PIN, ja que inclouen la verificació d’usuari.

Les claus de seguretat són credencials de WebAuthn que només es poden utilitzar com a segon factor d’autenticació i només validen la presència de l’usuari.

Aplicacions d’autenticació (TOTP)

Les aplicacions d’autenticació i les extensions del navegador com Aegis, Bitwarden, Google Authenticator, 1Password, Authy, Microsoft Authenticator, etc. generen contrasenyes d’un sol ús basades en el temps que s’utilitzen com a segon factor per verificar la vostra identitat quan se us demani durant l’inici de sessió.

Codis de recuperació

Els codis de recuperació es poden utilitzar per accedir al vostre compte si perdeu l’accés al dispositiu i no podeu rebre codis d’autenticació de dos factors.

Mantingueu els vostres codis de recuperació tan segurs com la vostra contrasenya. Us recomanem que les deseu amb un gestor de contrasenyes com ara Bitwarden, 1Password, Authy o Keeper.

Cada usuari pot configurar-ho a Compte i caldrà que signi un segon factor a més del mètode d’autenticació existent.

Això es pot aplicar per als usuaris del projecte (vegeu Autenticació forçada de dos factors) o a nivell d’equip. En els desplegaments a tot el lloc, també es pot utilitzar per fer complir l’autenticació de dos factors per a tots els usuaris activant-la a l’equip predeterminat Usuaris, que s’assigna automàticament als nous usuaris mitjançant assignació automàtica d’equip.

Els permisos d’un equip amb una autenticació de dos factors forçada no s’aplicaran als usuaris que no la tinguin configurada.

Autenticació¶

Registre d’usuari¶

Backends d’autenticació¶

Autenticació social¶

Autenticació OpenID¶

Autenticació GitHub¶

GitHub EE authentication¶

Autenticació Bitbucket¶

Google OAuth 2¶

Facebook OAuth 2¶

GitLab OAuth 2¶

Gitea OAuth 2¶

ID d’entrada de Microsoft¶

Slack¶

Anul·lació de noms i icones de mètodes d’autenticació¶

S’està desactivant l’autenticació de contrasenya¶

Autenticació de contrasenya¶

Autenticació SAML¶

Autenticació LDAP¶

Utilitzant la contrasenya d’enllaç¶

Active Directory integration¶

Autenticació CAS¶

Configuració de l’autenticació de Django de tercers¶

Autenticació de doble factor¶