two-factor-authentication-best-practices

Überblick über den Skill „two-factor-authentication-best-practices“

Der Skill two-factor-authentication-best-practices ist ein gezielter Implementierungsleitfaden, um 2FA in eine Better-Auth-Umgebung einzubauen – keine allgemeine Erklärung von MFA. Er eignet sich vor allem für Entwickler, die Better Auth bereits einsetzen und eine praxistaugliche, möglichst eindeutige Anleitung für TOTP-Apps, OTP-Zustellung, Backup-Codes, den Umgang mit vertrauenswürdigen Geräten und die durch das twoFactor-Plugin nötigen Änderungen im Sign-in-Flow brauchen.

Wobei dieser Skill hilft

Nutze diesen Skill, wenn dein eigentliches Ziel ist, mit Better Auth einen sicheren und funktionierenden 2FA-Flow für Access Control auszurollen: Plugin installieren, Server- und Client-Teile korrekt verdrahten, Migrationen ausführen und die User Journey von der Einrichtung über die Verifizierung bis zur Wiederherstellung sauber abbilden.

Für wen der Skill am besten passt

Dieser Skill passt besonders gut für:

• Better-Auth-Nutzer, die MFA in eine bestehende App integrieren
• Teams, die praktische two-factor-authentication-best-practices brauchen, nicht Theorie
• Entwickler, die Login-Härtung zuerst mit TOTP umsetzen und danach Fallback-Pfade wie Backup-Codes oder OTP-Zustellung ergänzen

Was ihn von einem generischen Prompt unterscheidet

Ein normaler Prompt beschreibt oft nur MFA-Konzepte. Dieser Skill ist hilfreicher, wenn du Better-Auth-spezifische Nutzungsdetails brauchst:

• Server-Plugin-Setup mit twoFactor()
• Client-Plugin-Setup mit twoFactorClient()
• Migration und Schema-Prüfung
• Verhalten des Enable-Flows, inklusive des Zeitpunkts, ab dem 2FA vollständig aktiviert ist
• Redirect-Handling während des Sign-ins

Was du vor der Installation wissen solltest

Dieser Skill ist bewusst eng gefasst. Er setzt voraus, dass Better Auth bereits Teil deines Stacks ist. Wenn du herstellerneutrale Authentifizierungsarchitektur, Compliance-Richtlinien oder einen Vergleich verschiedener MFA-Produkte suchst, ist das nicht der richtige Einstieg.

So nutzt du den Skill „two-factor-authentication-best-practices“

Installationskontext für diesen Skill

Dieser Skill liegt im Repository better-auth/skills unter better-auth/twoFactor. Da die Repository-Spuren nur eine Datei SKILL.md und keine Helper-Skripte oder Referenzen zeigen, solltest du den Mehrwert hier vor allem in direkter Implementierungsanleitung sehen, nicht in Automatisierung.

Wenn deine Umgebung einen Skill-Loader nutzt, installiere aus dem Repo und ziele auf den Skill twoFactor. Wenn du manuell arbeitest, öffne:

• better-auth/twoFactor/SKILL.md

Diese Datei zuerst lesen

Beginne mit SKILL.md, bevor du deinen App-Code anfasst. In diesem Skill steckt in dieser Datei die für Nutzer wichtigste Entscheidungsgrundlage:

• Server-Setup
• Client-Setup
• Migrationsschritt
• Enable-Flow
• Verhalten der TOTP-Verifizierung

Das ist ein seltener Fall, in dem das Lesen der einzelnen Quelldatei ausreicht, um die Eignung schnell zu beurteilen.

Welche Mindestangaben der Skill braucht

Damit der Skill two-factor-authentication-best-practices brauchbare Ergebnisse liefert, solltest du Folgendes angeben:

• den Pfad zu deiner Better-Auth-Server-Konfigurationsdatei
• den Pfad zu deiner Better-Auth-Client-Konfigurationsdatei
• ob du nur TOTP oder TOTP plus E-Mail-/SMS-OTP willst
• den Status deiner User-Tabelle und Migrationen
• deine gewünschte UX für Einrichtung, Challenge, Backup-Codes und vertrauenswürdige Geräte

Ohne diese Details bleibt das Ergebnis meist zu allgemein.

Der zentrale Setup-Pfad

Der praktische Setup-Pfad, den der Skill zeigt, ist:

1. twoFactor() zur Better-Auth-Server-Konfiguration hinzufügen
2. einen issuer setzen
3. twoFactorClient() zur Client-Konfiguration hinzufügen
4. npx @better-auth/cli migrate ausführen
5. prüfen, ob deine User-Tabelle die erwartete 2FA-Secret-Spalte enthält

Diese Migrationsprüfung ist wichtig, weil viele fehlgeschlagene Installationen in Wirklichkeit auf Schema-Abweichungen zurückgehen und nicht auf Probleme mit dem Plugin.

Server-seitiges Beispiel als Anker für deine Implementierung

Der Skill stellt das Server-Setup ungefähr so in den Mittelpunkt:

import { betterAuth } from "better-auth";
import { twoFactor } from "better-auth/plugins";

export const auth = betterAuth({
  appName: "My App",
  plugins: [
    twoFactor({
      issuer: "My App",
    }),
  ],
});

In der Praxis ist der issuer die entscheidende Eingabe, weil sie beeinflusst, wie die App in Authenticator-Apps angezeigt wird und wie vertrauenswürdig das Setup für Nutzer wirkt.

Client-seitiges Beispiel und Redirect-Handling

Der Client-Flow ist genauso wichtig wie die Plugin-Installation:

import { createAuthClient } from "better-auth/client";
import { twoFactorClient } from "better-auth/client/plugins";

export const authClient = createAuthClient({
  plugins: [
    twoFactorClient({
      onTwoFactorRedirect() {
        window.location.href = "/2fa";
      },
    }),
  ],
});

Für two-factor-authentication-best-practices im Kontext Access Control solltest du Redirect-Handling nicht als optionales Feintuning behandeln. Es ist Teil des Authentifizierungsflusses. Lege früh fest, wo dein Challenge-Screen liegt und welchen Zustand er benötigt.

So formulierst du gute Prompts für den Skill

Eine schwache Anfrage:

• „Help me add 2FA“

Eine starke Anfrage:

• „I use Better Auth in a React app. My server config is in src/lib/auth.ts and my client auth setup is in src/lib/auth-client.ts. I want TOTP with backup codes, a /settings/security enrollment page, a /2fa challenge route, and a migration checklist. Show exact code changes and call out anything that can break the flow.“

Die stärkere Variante gibt dem Skill genug Kontext, um umsetzungsreife Ergebnisse statt allgemeiner Ratschläge zu liefern.

So machst du aus einem groben Ziel einen vollständigen Prompt

Nutze dieses Muster für bessere Ergebnisse mit two-factor-authentication-best-practices:

• aktueller Stack: Framework, Better-Auth-Dateipfade
• gewünschte Faktoren: TOTP, E-Mail-OTP, SMS-OTP, Backup-Codes
• UX-Punkte: Enrollment-Seite, Challenge-Route, Recovery-Flow
• Sicherheitsregeln: Passwort-Re-Verifizierung, vertrauenswürdige Geräte, Session-Verhalten
• Ausgabeformat: Patch, Checkliste, Code-Snippets oder Review-Hinweise

Beispiel:

Apply two-factor-authentication-best-practices to my Better Auth setup.
Server file: `server/auth.ts`
Client file: `web/auth-client.ts`
Need: TOTP enrollment, backup codes, trusted-device option, redirect to `/auth/2fa`
Also include migration verification and note when `twoFactorEnabled` becomes true.

Ein Workflow, der Fehler reduziert

Ein verlässlicher Workflow ist:

1. Sicherstellen, dass Better Auth bereits ohne 2FA funktioniert
2. Server-Plugin hinzufügen
3. Client-Plugin und Redirect-Handling ergänzen
4. Migration ausführen
5. Schema-Änderungen prüfen
6. Enrollment-UI implementieren
7. erste Verifizierung testen
8. Anzeige und Speicher-UX für Backup-Codes ergänzen
9. Sign-in-Challenge und Recovery-Pfade testen

Diese Reihenfolge ist wichtig, weil UI-Arbeit vor Migration und Flow-Verdrahtung oft die eigentlichen Bruchstellen verdeckt.

Wichtiges Verhalten, das viele Teams übersehen

Der Skill weist auf ein kritisches Detail hin: twoFactorEnabled wird erst dann true, wenn die erste TOTP-Verifizierung erfolgreich war. Das wirkt sich aus auf:

• Onboarding-Logik
• UI-Status, nachdem die Einrichtung begonnen hat
• Audit-Logging
• Erwartungen im Support, wenn Nutzer einen QR-Code scannen, die Verifizierung aber nie abschließen

Genau solche Implementierungsdetails machen den Skill hilfreicher als einen generischen MFA-Prompt.

Was dieser Skill nicht automatisiert

Für diesen Skill gibt es im Repository-Pfad keine gebündelten Skripte, Regeln oder Support-Dateien. Behandle ihn daher als signalstarken Leitfaden, nicht als schlüsselfertigen Installer. Du musst weiterhin:

• den Code an dein Framework anpassen
• die QR-Code-UI bauen
• festlegen, wie Backup-Codes angezeigt und bestätigt werden
• Verhalten für vertrauenswürdige Geräte und Recovery in deiner eigenen App testen

FAQ zum Skill „two-factor-authentication-best-practices“

Ist dieser Skill nur für Better Auth?

Ja. Dieser Leitfaden zu two-factor-authentication-best-practices bezieht sich ausdrücklich auf das Better-Auth-Plugin twoFactor und die zugehörige Nutzung des Client-Plugins. Wenn du Auth.js, Firebase Auth, Cognito oder einen eigenen Auth-Stack verwendest, brauchst du eine andere Ressource.

Ist das auch für Einsteiger geeignet?

Einsteigerfreundlich ist der Skill nur dann, wenn du bereits eine funktionierende Better-Auth-Installation hast. Er ist keine vollständige Einführung in Authentifizierung, Datenbanken oder Migrations-Workflows.

Deckt er nur TOTP ab?

Nein. Die Skill-Beschreibung verweist auch auf OTP per E-Mail/SMS, Backup-Codes, vertrauenswürdige Geräte und das Handling des Sign-in-Flows. Die sichtbaren Setup-Beispiele legen den Schwerpunkt aber klar auf TOTP, daher ist TOTP voraussichtlich der am deutlichsten ausgearbeitete Pfad.

Wann sollte ich diesen Skill nicht verwenden?

Lass diesen Skill aus, wenn:

• du Better Auth nicht verwendest
• du einen Produktvergleich statt Implementierungshilfe brauchst
• du allgemeine two-factor-authentication-best-practices als Richtlinie ohne Code suchst
• du WebAuthn oder Passkeys als Hauptfaktor statt des Better-Auth-2FA-Plugin-Flows brauchst

Ist das besser, als direkt ein KI-Modell zu fragen?

Für Better-Auth-spezifische 2FA-Arbeit in der Regel ja. Ein generisches Modell schlägt oft MFA-Muster vor, die nicht zu den Plugin-APIs oder dem Aktivierungsverhalten von Better Auth passen. Dieser Skill verengt den Lösungsraum auf die richtigen Bausteine.

Hilft der Skill bei der Access-Control-Konzeption?

Ja, innerhalb seines Rahmens. Der Fokus von two-factor-authentication-best-practices für Access Control ist dann am stärksten, wenn du zusätzliche Sicherheitsstufen rund um Sign-in und Kontoschutz durchsetzen willst. Für breitere Autorisierungsmodelle wie RBAC oder ABAC ist er deutlich weniger nützlich.

So verbesserst du den Skill „two-factor-authentication-best-practices“

Gib deine tatsächlichen Dateipfade und die aktuelle Code-Struktur an

Der schnellste Weg zu besserer Ausgabequalität ist, die aktuellen Server- und Client-Auth-Dateien anzugeben. So kann der Skill Änderungen erzeugen, die zu deiner Import-Struktur, der Form deines Plugin-Arrays und deinen Routing-Mustern passen.

Definiere Faktor- und Recovery-Policy von Anfang an

Sag genau, welche Flows du willst:

• nur TOTP
• TOTP plus Backup-Codes
• TOTP plus E-Mail-/SMS-Fallback
• Unterstützung für vertrauenswürdige Geräte
• erneute Passwortbestätigung vor dem Enrollment

Diese Entscheidungen verändern die Ausgabe spürbar. Wenn du sie weglässt, muss der Skill raten.

Fordere Migrations- und Verifizierungsschritte explizit an

Ein typischer Fehlerfall sind Code-Snippets ohne operative Prüfungen. Fordere an:

• Migrationsbefehl
• Schema-Prüfschritt
• erwartete vorhandene Spalte
• Testfälle für Enrollment und Sign-in-Challenge

Damit wird der Installationsprozess mit two-factor-authentication-best-practices robuster.

Bitte den Skill, Setup und UX zu trennen

Fordere die Ausgabe in Abschnitten an:

1. Plugin-Installation
2. Schema-Änderungen
3. Enrollment-UI
4. Challenge-Flow
5. Backup-/Recovery-Handling
6. Test-Checkliste

So vermeidest du vermischte Antworten, in denen Code, Routing und Policy-Hinweise durcheinander geraten.

Achte auf diese häufigen Fehlerbilder

Die meisten schlechten Ergebnisse entstehen durch:

• vergessenes Client-Plugin
• fehlende Redirect-Logik
• nicht ausgeführte Migration
• die Annahme, dass 2FA schon vor der ersten Verifizierung aktiviert ist
• eine QR-Anzeige ohne Handling für Backup-Codes
• die Behandlung vertrauenswürdiger Geräte als reines UI-Feature

Wenn du in der ersten Antwort eine dieser Lücken siehst, fordere eine korrigierte Flow-Prüfung an.

Iteriere nach dem ersten Entwurf

Nachdem der Skill dir einen Implementierungsplan gegeben hat, verbesserst du ihn am besten mit Nachfragen wie:

• „What edge cases are missing?“
• „Review this flow for lockout risk.“
• „Add test scenarios for failed TOTP, backup code use, and device trust.“
• „Rewrite this for my exact route structure.“

Oft wird der Skill erst in diesem zweiten Durchgang wirklich produktionsreif.