Konten und Rollen

Wem die Links gehören

Das entscheidet ein Schalter unter Einstellungen → Funktionen, ganz oben. Zwei Stellungen:

Gemeinsam (Vorgabe)

Der Installation, nicht dem Konto. Jedes angemeldete Konto sieht alle Shortlinks dieser Installation und darf sie ansehen, bearbeiten, verschicken und löschen. Wer einen Link angelegt hat, wird festgehalten und in Übersicht und Detailansicht angezeigt — als Auskunft darüber, wen man fragen kann, nicht als Besitzangabe.

Der Grund: Ein Kurz-Link auf der Domain des Hauses ist eine Sache des Hauses. Ein Kollege im Urlaub darf kein Grund sein, warum ein Ziel nicht umgezogen werden kann — und genau dafür gibt es diesen Dienst.

Der Preis, offen benannt: Es gibt keine abgestuften Rechte je Link. Wer bearbeiten darf, kann das Ziel eines Links im Umlauf auf etwas Beliebiges setzen — das ist folgenreicher als löschen, denn ein gelöschter Link leitet gar nicht mehr weiter, ein umgebogener aber woandershin. Wer das nicht möchte, vergibt keine Konten an Personen, denen er das nicht zutraut; ein Zwischenzustand ist nicht vorgesehen.

Die eine Stufe, die dem Administrator vorbehalten bleibt, ist die Aufsicht: einen Link stilllegen und wieder freigeben (Verwaltung → Links). Löschen kann ohnehin jeder.

Links ohne Anleger. Nach dem Löschen eines Kontos stehen dessen Links ohne Anleger da — in der Übersicht mit dem Abzeichen ohne Anleger. Das ist ein Betriebsproblem, kein Schönheitsfehler: An den Anleger geht die Nachricht, wenn die Ziel-Prüfung einen Link von selbst stilllegt. Ohne ihn geht sie an niemanden, und der Link fällt aus, ohne dass es jemand erfährt (im Log steht es).

Jedes Konto kann einen solchen Link in der Detailansicht übernehmen und ist damit der Adressat. Bewusst ein Knopf und keine Automatik: Die Anwendung könnte den nächsten Bearbeiter eintragen — sie hätte damit jemanden zum Zuständigen gemacht, der nur ein Ziel korrigiert hat. Ein Link, der bereits einen Anleger hat, lässt sich nicht übernehmen.

Nach dem Löschen eines Kontos lohnt ein Blick in die Übersicht. Was dort ohne Anleger trägt, sollte jemand übernehmen — sonst ist der Link zwar in Betrieb, aber unbeaufsichtigt.

Zuweisen — nur der Administrator. Auf der Detailseite eines Links steht für Administratoren die Karte Zuständigkeit: eine Auswahl über alle Konten und ein Knopf. Sie setzt den Anleger, sonst nichts — Adresse, Ziel, Ablauf und Zahlen bleiben.

Der Unterschied zum Übernehmen ist nicht die Bequemlichkeit, sondern wer entscheidet: Beim Übernehmen holt sich jemand einen herrenlosen Link selbst, und das darf jedes Konto, weil es niemandem etwas wegnimmt. Beim Zuweisen bestimmt jemand über ein anderes Konto — deshalb Administrator, deshalb auch bei einem Link, der schon einen Anleger hat, und deshalb geht eine E-Mail an den Zugewiesenen. Sie nennt den Link, das Ziel und den Namen dessen, der zugewiesen hat; ohne diesen Namen wäre es eine Anweisung aus dem Nichts.

Der eigentliche Anlass ist ein ausgeschiedener Kollege, dessen Links jemand weiterführen soll. Zurückweisen lässt sich eine Zuweisung nicht — ein Administrator kann sie aber jederzeit wieder ändern.

Die Zuweisung hängt nicht am Mailversand. Sie ist gespeichert, bevor etwas verschickt wird — sonst entschiede die Erreichbarkeit eines Mailservers darüber, ob eine Zuständigkeit gesetzt werden kann. Ist kein Versand eingerichtet, sagt die Karte das vorher, und die Rückmeldung sagt es noch einmal. Dann selbst Bescheid geben.

Rückwirkung auf eine bestehende Installation: Niemand verliert etwas, aber jeder sieht mehr — nach dem Update steht in der Übersicht jedes Kontos, was bisher nur sein Anleger sah. Wer das nicht will, muss vor dem Update entscheiden, welche Konten bestehen bleiben.

Je Konto (Benutzer-Modus)

Jedes Konto sieht und verwaltet nur seine eigenen Links. Neue Adressen tragen den Namensraum des Kontos: /xy/sommeraktion statt /sommeraktion.

Beides hängt zusammen und lässt sich nicht trennen: Getrennte Bestände ohne getrennte Namensräume hießen, dass zwei Konten um dieselben Wunsch-Adressen streiten, ohne die Links des anderen sehen zu können. Erst der Namensraum erlaubt es, dass zwei Konten beide sommeraktion haben.

Der Schalter prägt, er migriert nicht. Eine einmal ausgegebene Adresse ändert sich nie und löst in beiden Stellungen weiter auf — auch nach dem Hin- und Zurückschalten. Alles andere wäre kein Schalter, sondern eine Falle: Er bräche beim Umschalten jeden gedruckten Link und beim Zurückschalten ein zweites Mal.

Beim Umschalten in den Benutzer-Modus werden Links ohne Anleger dem Administrator zugeordnet, der umschaltet. Sonst wären sie in Betrieb und für niemanden sichtbar: Übernehmen gibt es nur im gemeinsamen Bestand, und in der eigenen Übersicht taucht ein Link ohne Anleger dann bei keinem Konto mehr auf. Die Karte nennt vorher, wie viele es sind.

Was der Modus nicht ändert: wer bearbeiten und löschen darf (der Anleger und der Administrator), die Aufsicht, das Zuweisen und die Adressen im globalen Namensraum.

Was der Schalter mit den Bereichen macht

Bereiche gruppieren die Übersicht (siehe Bereiche weiter unten). Wem sie gehören, hängt an derselben Stellung — und die beiden Richtungen tun nicht dasselbe. Das ist die einzige Stelle in den Einstellungen, an der ein Schalter Daten löscht.

Warum gelöscht wird. Ein gemeinsamer Bereich ist eine gemeinsame Sache. Bliebe er im Benutzer-Modus stehen, hätte Konto A darin zwei Links und Konto B drei — und keines sähe die des anderen. Jeder sähe einen Ausschnitt, hielte ihn für den ganzen Bereich und handelte danach: doppelte Links, doppelte Absprachen, und niemandem fällt es auf, weil nichts abstürzt. Ein leerer Neuanfang ist verständlich, ein halber Bereich nicht.

Warum in der Gegenrichtung nichts verloren geht. Aus vielen persönlichen Ordnungen lässt sich eine gemeinsame machen. Nur müssen zwei Konten, die ihren Bereich beide Kampagne genannt haben, unterscheidbar bleiben — sie sind und bleiben zwei getrennte Bereiche. Deshalb der Zusatz im Namen. Er steht im Namen und nicht daneben, weil der Bereich danach der Installation gehört: Eine Spalte stammte von wäre nach dem ersten Umbenennen falsch und ließe sich nie wieder loswerden. Als Text lässt er sich unter Bereiche kürzen oder entfernen.

Die Karte in den Einstellungen nennt beides vorher, mit Anzahl.

Bereiche

Was sie sind: eine Beschriftung, die ein Link tragen kann — Kampagne Herbst, Messe, Vertrieb. Die Übersicht macht daraus ein Akkordeon: ein aufklappbarer Abschnitt je Bereich, darin dieselbe Tabelle wie bisher. Links ohne Bereich stehen oben unter Ohne Bereich. Solange kein Bereich angelegt ist, sieht die Übersicht genau aus wie vorher — eine flache Tabelle.

Was sie nicht sind: eine Berechtigung. Ein Bereich ändert nichts daran, wer einen Link sieht oder bearbeiten darf; das entscheidet allein der Schalter oben. Wer einen vertraulichen Link in einen Bereich einsortiert, hat ihn nicht versteckt. Die Oberfläche sagt das auf der Seite Bereiche ausdrücklich, weil das Wort die andere Lesart nahelegt.

Wer sie verwaltet: jedes angemeldete Konto, unter Bereiche in der Navigation — bewusst kein Administratorbereich. Im Benutzer-Modus gehören die Bereiche den einzelnen Konten; wer seine eigene Ordnung nicht aufräumen dürfte, müsste für jeden Tippfehler den Betreiber fragen. Im gemeinsamen Bestand gehören sie der Installation, und dort darf jedes Konto auch die Links aller bearbeiten — dieselbe Linie.

Löschen nimmt keinen Link mit. Ein Bereich ist eine Beschriftung, kein Behälter: Seine Links bleiben bestehen, leiten weiter und stehen danach unter Ohne Bereich.

Umbenennen bricht nichts. Ein Bereich steht in keiner ausgegebenen Adresse und in keiner verschickten Nachricht. Genau darin unterscheidet er sich vom Kurz-Link, der unveränderlich ist.

Ein zugewiesener Link im Benutzer-Modus trägt weiterhin den Bereich seines vorigen Kontos — den der neue Eigentümer nicht sehen darf. Er steht bei ihm deshalb unter Ohne Bereich und lässt sich beim nächsten Speichern in einen eigenen Bereich einsortieren.

CSV-Export der Links

Jedes angemeldete Konto kann die Links, die es sieht, als CSV-Datei herunterladen — im Kopf der Übersicht den ganzen sichtbaren Bestand, unter Bereiche je Zeile den einzelnen Bereich. Zwei Spalten: die vollständige Kurz-Link (mit Schema, Host und Namensraum) und die Ziel-URL. Einschränkungen am Link spielen keine Rolle — abgelaufene, stillgelegte, passwortgeschützte und ausgeschöpfte Links stehen mit drin. Gelöschte nicht.

Der Export geht durch dieselbe Abfrage wie die Übersicht (App\Support\LinkAccess). Es kommt also nie mehr heraus, als am Bildschirm ohnehin steht: im gemeinsamen Bestand alles, im Benutzer-Modus nur die eigenen Links. Auch der Bereichs-Export ist zusätzlich so eingeschränkt — der zugewiesene Link aus dem Kasten oben taucht in der Datei seines alten Bereichs nicht auf.

Es gibt keinen Schalter, mit dem sich der Export abstellen lässt — und keinen, der ihn auf Administratoren begrenzt. Wer die Liste am Bildschirm sehen darf, darf sie mitnehmen. Wenn das für eine Installation nicht gewollt ist, ist der Hebel die Betriebsart (Einstellungen → Funktionen: Benutzer-Modus), nicht der Export.

Das Format ist CSV nach RFC 4180: Komma, CRLF, UTF-8 mit Signatur. Numbers, LibreOffice und OpenOffice öffnen es per Doppelklick; Excel richtet sich nach dem Listentrennzeichen von Windows (in Deutschland das Semikolon) und braucht daher den Weg Daten → Aus Text/CSV.

Namensräume (Präfixe)

Jedes Konto bekommt beim Anlegen einen Namensraum aus zwei Zeichen — bestehende Konten bei der Aktualisierung. Der Zeichenvorrat ist derselbe wie bei den gewürfelten Kurz-Links (ohne 0, 1, l und o, weil eine Adresse vorgelesen und abgetippt wird); 32 Zeichen ergeben 1024 Namensräume. Wird es eng, vergibt das System drei und dann vier Zeichen. Längen stehen problemlos nebeneinander, eine gedruckte Adresse bricht dabei nie.

Vergeben wird beim Anlegen des Kontos und nicht beim ersten Link: Ein Namensraum ist eine Reservierung, und wer sie erst vergibt, wenn sie gebraucht wird, vergibt sie unter Zeitdruck — mitten in einem Web-Request, in dem der Nutzer eigentlich einen Link anlegen wollte.

Woraus das Kürzel entsteht

Das Kürzel wird aus dem Kontonamen abgeleitet und nicht gewürfelt. Es steht in jeder Adresse, die das Konto ausgibt: md für Muster Design ist vorlesbar und merkbar, k7 ist es nicht.

Ein Namenszusatz oder eine Rechtsform in der Mitte fällt damit heraus; gezählt werden das erste und das letzte Wort, weil der Nachname bzw. der kennzeichnende Schluss das ist, wonach jemand das Konto sucht. Ein Titel wie Dr. zählt allerdings als Wort — bei Dr. John Doe entsteht dd. Wo das störend ist, hilft die Neuvergabe (unten).

l und o haben kein Ersatzzeichen. Sie fehlen dem Alphabet, weil sie mit 1 und 0 verwechselt werden — und die fehlen ebenfalls, es gibt also nichts, was ihnen ähnlich sähe. Statt zu würfeln, rückt darum der nächste verwendbare Buchstabe desselben Wortes nach: Ein Kürzel, bei dem ein Buchstabe noch stimmt, ist näher am Namen als zwei zufällige.

Gewürfelt wird nur noch als Notausgang — und dann genau wie früher. Das passiert in drei Fällen: Der Name gibt keine zwei verwendbaren Zeichen her (Loop etwa besteht nach der Filterung aus einem einzigen), das passende Kürzel steht auf der Sperrliste (unten), oder es gehört schon einem anderen Konto. Mit dem Namen wird nur EINMAL versucht: Ein Konto hat genau einen Namen, und wenn dessen Kürzel belegt ist, gibt es kein zweites, das noch dazu passen würde.

Ein umbenanntes Konto behält sein Kürzel. Abgeleitet wird beim Anlegen; danach hängen ausgegebene Adressen daran. Wer das Kürzel dem neuen Namen anpassen will, nimmt die Neuvergabe — mit allem, was dort steht.

Unglückliche Kürzel

Ein Kürzel kann sich als Aussage lesen — ein Parteikürzel, ein Kürzel aus dem rechtsextremen Umfeld, eine Beleidigung. Das trifft gewürfelte Kürzel, aber auch abgeleitete: Sarah Schmidt ergäbe ss. Das System hält dagegen eine Sperrliste (App\Support\Prefixes::UNFORTUNATE), die nie vergeben wird; ein gesperrtes Kürzel führt zum Würfel.

Eine offizielle Liste dafür gibt es nicht, und die hier ist ausdrücklich unvollständig. Schimpfwort-Listen kennen fu und fck, aber kein Parteikürzel; § 86a StGB betrifft Kennzeichen verfassungswidriger Organisationen im Verwendungskontext und nicht eine gewürfelte Kennung. Die Liste ist eine Abwägung — sie zu erweitern ist der Normalfall, und ein Eintrag wirkt auf künftige Vergaben.

Neu vergeben lässt sich ein Kürzel unter Verwaltung → Konten → Bearbeiten, Karte Namensraum für Kurz-Links. Das System schlägt freie Alternativen vor — Vorschläge statt eines Würfels, weil ein blindes neues Kürzel dasselbe Problem wiederholen kann.

Ist das zum Namen passende Kürzel frei, steht es dort an erster Stelle und ist mit passt zum Namen ausgezeichnet; die übrigen Vorschläge sind gewürfelt und bei jedem Aufruf der Seite andere. Das ist auch der Weg für Konten aus einer älteren Fassung: Ihre Kürzel wurden gewürfelt, bevor es die Ableitung aus dem Namen gab — die Aktualisierung tauscht sie nicht aus (ausgegebene Adressen hängen daran), über diesen Vorschlag lässt sich das aber Konto für Konto nachholen.

Was mit dem alten Kürzel passiert, entscheidet eine einzige Frage: Liegt eine Adresse darunter?

Und das gibt etwas auf. War das alte Kürzel unglücklich — ein Parteikürzel, eine Beleidigung, die die Sperrliste nicht kennt —, dann liegt es nach der Freigabe wieder im Topf und kann das nächste Konto treffen. Die Freigabe kann das nicht unterscheiden; sie sieht nur, dass keine Adresse daran hängt. Wer aus diesem Grund austauscht, trägt das Kürzel zusätzlich in die Sperrliste ein (App\Support\Prefixes::UNFORTUNATE). Das ist die Stelle, die „nie wieder" sagt — und sie wirkt auf jede Installation, nicht nur auf diese eine Zeile.

Bereits ausgegebene Adressen ändern sich nicht. Links unter dem alten Kürzel behalten es; das neue gilt für alles, was danach entsteht. Ein Konto kann dadurch Adressen in zwei Namensräumen haben, und beide lösen weiter auf — genau dafür steht der Namensraum am Link und nicht am Konto.

Ein Namensraum überlebt sein Konto. Wird das Konto gelöscht, bleibt die Reservierung stehen. Sie muss stehenbleiben, solange auch nur ein Link darunter liegt — auch ein gelöschter, dessen Adresse ja dauerhaft belegt bleibt. Gäbe man ihn frei, könnte ein neues Konto xy erben und eine bereits verschickte Adresse ein zweites Mal ausgeben.

Der Aufräumlauf gibt herrenlose Namensräume wieder frei, sobald kein Link mehr darunter liegt (shortlink:cleanup, Kategorie Freigegebene Namensräume ohne Konto und ohne Adressen; im Testlauf sichtbar, ohne dass etwas passiert). Er nimmt beide Herkünfte: gelöschte Konten und ausgetauschte Kürzel. In der Praxis betrifft das fast nur Namensräume, unter denen nie ein Link entstand — und genau dafür gibt es den Lauf: Ein eingeladenes Konto, das nie benutzt und später gelöscht wurde, hielte sonst für immer einen der kurzen Namensräume belegt.

Für ausgetauschte Kürzel ist der Lauf die Nachholung. Bis 3.1.0 hat ein Austausch ausnahmslos gesperrt; solche Kürzel liegen in bestehenden Installationen herum. Der erste Aufräumlauf nach der Aktualisierung gibt sie frei, soweit keine Adresse daran hängt. Wenn darunter eines ist, das nie wieder vergeben werden soll, gehört es vor diesem Lauf in die Sperrliste.

Es gibt keine öffentliche Registrierung. Konten legt ein Administrator unter Nutzer an.

Zwei Rollen:

Der Unterschied zwischen den Rollen ist beim Link-Bestand kleiner geworden: Auch ein Nutzer sieht in seiner Übersicht alle Links (siehe Wem die Links gehören oben). Was dem Administrator vorbehalten bleibt, ist die Aufsicht unter Verwaltung → Links — stilllegen und wieder freigeben (siehe Ziel-Prüfung). Die Aufsichtsliste verlinkt die Detailseite jetzt auch: Sie ist für jedes angemeldete Konto erreichbar, und der Betreiber trifft seine Entscheidung dort auf besserer Grundlage.

Konto anlegen

Adresse, Name und Rolle eintragen. Das System verschickt eine Einladung; die eingeladene Person setzt ihr Passwort selbst über einen Link, der 7 Tage gültig ist. Der Administrator vergibt kein Passwort und erfährt es nicht. Das ist Absicht: Ein Passwort, das zwei Personen kennen, ist kein Nachweis für eine Person mehr.

Läuft die Einladung ab, kann sie erneut verschickt werden.

Wer die Einladung annimmt, hat damit seine Adresse bestätigt. Der Link kam ja dort an. Ein Tippfehler in der Adresse führt deshalb nicht zu einem halb funktionierenden Konto, sondern zu gar keinem: Die Einladung kommt nirgends an, niemand kann sie annehmen. Das ist der günstigere Fehler.

Die bestätigte Adresse als Voraussetzung

Ein Konto, dessen Adresse nicht bestätigt ist, kann keine neuen Shortlinks anlegen. Sonst ist nichts gesperrt: Bestehende Links bearbeiten, verschicken und löschen geht weiter, ebenso jede Einstellungsseite — auch die der Verwaltung.

Der Grund für genau diesen Zuschnitt: Ein Shortlink ist eine Adresse auf deiner Domain. Stellt sich später heraus, dass etwas mit ihm nicht stimmt, ist die Mail an den Eigentümer der einzige Weg, ihn zu erreichen — bei automatisch stillgelegten Links ist sie das eingebaute Verfahren (siehe Ziel-Prüfung). Eine Adresse, die nie jemand nachgewiesen hat, ist dafür kein Weg.

Ein laufender Adresswechsel sperrt nicht: Dort bleibt die bisherige Adresse aktiv und bestätigt, der Nutzer also erreichbar — und der Wechsel lässt sich jederzeit verwerfen.

Wie ein Konto aus dem Zustand herauskommt: Konto → „Bestätigungsmail senden", dann den Link anklicken. Derselbe Knopf schickt auch die Mail eines hängenden Adresswechsels erneut. Jeder Aufruf erzeugt einen neuen Link und entwertet den vorigen — der häufigste Anlass ist ein abgelaufener Link, und dieselbe Mail noch einmal zu schicken hülfe da nicht.

In der Nutzerliste steht je Konto, ob die Adresse bestätigt ist. Ein Konto, das dort lange unbestätigt bleibt, hat entweder die Einladung nie angenommen oder eine Adresse, die niemand liest.

Was ein Administrator nicht kann

• Fremde E-Mail-Adressen ändern. Sonst könnte er ein fremdes Konto auf seine eigene Adresse umleiten und über „Passwort vergessen" übernehmen. Die Adresse ändert nur der Inhaber selbst, und die neue Adresse muss über einen Link bestätigt werden (24 Stunden gültig).
• Passwörter setzen oder lesen.
• Den letzten Administrator herabstufen oder löschen. Sonst wäre die Installation ohne Verwaltung.
• Fremde Links bearbeiten oder löschen. Nur stilllegen und freigeben.

Zwei-Faktor-Anmeldung

Jeder Nutzer richtet sie selbst ein (Konto → Sicherheit) mit einer Authenticator-App. Bei der Einrichtung erscheinen 8 Wiederherstellungs-Codes, jeder genau einmal verwendbar. Sie werden nur dieses eine Mal angezeigt.

Verliert jemand Gerät und Codes, kann ein Administrator die Zwei-Faktor-Anmeldung für dieses Konto zurücksetzen. Das wird protokolliert und dem Betroffenen per Mail mitgeteilt. Prüfe vorher auf einem anderen Weg, wer da anfragt — dieser Vorgang entfernt eine Sicherheitsmaßnahme.

Konto löschen

Das eigene Konto löscht der Inhaber unter Konto; dafür ist das aktuelle Passwort nötig, eine offene Sitzung genügt nicht. Ein Administrator kann fremde Konten löschen, außer dem letzten Administrator.

Die Shortlinks des Kontos bleiben bestehen und leiten weiter. Sie gehören der Installation, nicht dem Konto (siehe Wem die Links gehören weiter oben). Was wegfällt, ist der Verweis: In der Übersicht steht bei diesen Links danach „—" statt eines Namens. Klick- und Versandprotokolle bleiben ebenfalls, weil die Links in Benutzung sind.

Das war früher anders, und die alte Regel steht bis heute in manchem Kopf: Ein gelöschtes Konto sollte keine wirksamen Weiterleitungen hinterlassen. Das war richtig, solange ein Link seinem Anleger gehörte. In einem gemeinsamen Bestand wäre es die teuerste Fassung des falschen Verhaltens — ein ausscheidender Mitarbeiter nähme die Kampagnenlinks des ganzen Hauses mit, Adressen, die gedruckt sind und die seine Kollegen benutzen.

Ein Konto zu löschen entfernt also keine Links. Wer einen Link loswerden will, löscht ihn in der Übersicht; wer ihn nur sperren will, legt ihn unter Verwaltung → Links still. Die Adresse bleibt in jedem Fall dauerhaft belegt und wird nie neu vergeben — sonst könnte ein später angelegter Link sie erben, und ein alter, längst gedruckter Shortlink führte plötzlich auf ein fremdes Ziel.