Benutzer & Rechte

Tunetorch ist für mehrere Personen gedacht: Familie, WG, Freundeskreis. Jedes Konto hat eigene Playlists, Favoriten, Einstellungen und Statistiken — und genau die Rechte, die es braucht.

Die Verwaltung liegt in den Server-Einstellungen im Reiter Benutzer (direkt nach „Überblick“) und ist Admins vorbehalten.

Konten anlegen

Beim Anlegen setzt du Benutzername und Passwort, die Rechte, das Flag „Eingeschränkt“ und — bei eingeschränkten Konten — die zugeordneten Betreuer.

Jeder Listeneintrag zeigt zusätzlich die letzte Anmeldung des Kontos („noch nie“, falls sich seit der Einrichtung niemand angemeldet hat).

Entweder ganz oder gar nicht. Rechte, Beschränkung und Betreuer werden nach dem Anlegen gesetzt. Geht dabei etwas schief — Verbindung weg, Server neu gestartet —, nimmt Tunetorch das eben angelegte Konto wieder zurück, statt ein Konto stehen zu lassen, das anders ist als bestellt. Die Meldung sagt, woran es lag; deine Eingaben bleiben im Formular stehen, du kannst es also direkt erneut versuchen — dann allerdings mit einem anderen Namen: Ein zurückgenommenes Konto ist ein zum Löschen vorgemerktes, und der Name bleibt bis zur endgültigen Löschung reserviert (s. Abschnitt „Konten löschen“ weiter unten).

Wie viele Konten möglich sind, hängt vom Plan ab: bis zu 3 in der kostenlosen Version, bis zu 99 mit Tunetorch Pro.

Die Rechte

Recht	Erlaubt
Admin	Alles. Server-Einstellungen, Benutzerverwaltung, Wartung, Logs, Voll-Export. Sticht jede andere Prüfung.
Metadaten	Titel, Alben, Interpreten, Genres, Cover, Biografien, Tags und Mitwirkende bearbeiten; Metadaten-Assistent, Internet-Bildsuche und MusicBrainz-Anreicherung (diese drei nur mit Pro); eine Tunetorch-Datenbank mit Informationen (`.ttdbl`) importieren.
Audio hochladen	Dateien und Ordner hochladen und in die Bibliothek übernehmen. Zusammen mit Metadaten auch eine vollständige Tunetorch-Datenbank (`.ttdb`) mit Musik importieren.
Audio löschen	Titel und Alben zum Löschen vormerken.
Export	Alben und Interpreten exportieren.
DLNA	Auf Geräte im Heimnetz casten.

Ein Konto ohne Zusatzrechte kann hören, Playlists und Favoriten pflegen, seine Einstellungen ändern und seine Statistik ansehen. Für die meisten Mitbewohner ist das genau richtig.

Ein paar Regeln, die Tunetorch erzwingt:

Das Admin-Recht kann nur von Admins vergeben oder entzogen werden.
Dem letzten Admin lässt sich das Recht nicht entziehen.
Ein eigenes Konto kann sich nicht selbst die Admin-Rechte nehmen und sich nicht selbst sperren; die entsprechenden Schalter sind ausgegraut.
Ein eingeschränktes Konto kann keine weiteren Rechte besitzen.

Es gibt bewusst kein eigenes Recht „Benutzer verwalten“ — Konten verwalten nur Admins.

Eingeschränkte Konten (Kinder und Gäste)

Ein Konto lässt sich als eingeschränkt markieren. Es sieht dann nur die Musik, die ausdrücklich für es freigegeben ist — und zwar vollständig serverseitig durchgesetzt: Bibliothek, Startseite, Suche, Statistik und Android Auto zeigen nur freigegebene Inhalte, und Audio-Streams sowie Cover gesperrter Inhalte werden abgewiesen. Es gibt keinen Umweg über die Adresszeile.

Betreuer statt Admin

Die Freigabe-Liste pflegt nicht der Admin. Beim Anlegen ordnet er dem Konto mindestens einen Betreuer zu — und die eigentliche Auswahl treffen dann diese Betreuer.

Ein Betreuer findet in seinem Benutzermenü den Eintrag „<Name> bearbeiten“ und legt dort per aufklappbaren Listen fest, was das Konto hören darf:

Freigabe nach	Wirkung
Genre	Alle Titel und Alben dieses Genres.
Interpret	Alle Titel und Alben dieses Interpreten — samt Gastbeiträgen und Gemeinschaftsalben.
Einzelne Titel	Genau diese Titel.

Die drei Wege sind additiv. Eine Zusammenfassung zeigt die Auswahl eingerückt als Interpret › Album › Titel, sodass das Ergebnis auf einen Blick prüfbar ist — sie führt dieselben fünf Wege auf, über die der Server entscheidet, Gastbeiträge eingeschlossen.

Eine Interpret-Freigabe wirkt titel-genau. Auf einem 20-Titel-Sampler wird genau der eine Beitrag des freigegebenen Interpreten sichtbar — nicht das ganze fremde Album. Dabei zählen auch Gemeinschaftsalben und Gastbeiträge.

Der Sinn der Trennung: Wer die Musik kennt und einschätzen kann, entscheidet — nicht zwangsläufig die Person mit den Server-Rechten.

Passwörter

Jeder ändert sein eigenes Passwort unter Benutzer-Einstellungen → Konto.
Ein Admin kann für ein Konto ein neues Passwort setzen.
Erzwungener Wechsel: Solange der Standard-Admin noch das voreingestellte, öffentlich bekannte Passwort trägt, blockiert ein Vollbild-Hinweis die App. Der Zwang erlischt nach dem Wechsel; genau dieses Passwort kann danach nicht erneut gesetzt werden. Angemeldet bleibst du über zwei HttpOnly-Cookies, deren Laufzeiten der Admin einstellen kann (siehe Sicherheit & Datensicherung).

Admin-Passwort zurücksetzen

Gibt es ein zweites Admin-Konto, ist der Fall einfach: Dort anmelden und dem gesperrten Konto in der Benutzerverwaltung ein neues Passwort geben. Ist das verlorene Konto der einzige Admin, führt der Weg über den Server — direkt im laufenden Container, ohne Umweg über die Datenbank:

docker exec -it tunetorch tt admin-reset <Benutzername>

Der Befehl fragt nach und setzt das Konto anschließend auf das voreingestellte Passwort BITTE_ÄNDERE_MICH zurück.

Melde dich sofort danach an. Beim ersten Anmelden verlangt Tunetorch ein neues Passwort — bis dahin steht das Konto auf einem Passwort, das jeder kennt. Auf einem öffentlich erreichbaren Server ist das ein Handgriff, den man zu Ende führt und nicht über Nacht liegen lässt.

Kennst du den genauen Benutzernamen nicht mehr, gib irgendeinen ein: Bei einem falschen Namen listet der Befehl alle vorhandenen Administratoren auf.

Was der Befehl bewusst nicht tut

Er reicht nur für Admin-Konten. Das Passwort eines normalen Kontos setzt ein Admin in der Benutzerverwaltung neu — dafür braucht es keinen Server-Zugang.
Er meldet niemanden ab. Wer gerade angemeldet ist, bleibt es bis zum Ablauf seiner Sitzung.

Ist das ein Sicherheitsloch? Nein — wer docker exec auf dem Server ausführen darf, könnte die Datenbank ohnehin direkt bearbeiten. Über das Netz ist der Befehl nicht erreichbar; es gibt keinen Endpunkt dafür.

Konten löschen

Selbst löschen

Jeder kann sich unter Benutzer-Einstellungen → Konto selbst löschen — mit Sicherheitsabfrage. Das Konto wird zum Löschen vorgemerkt, der Benutzer sofort abgemeldet; eine erneute Anmeldung ist dann nicht mehr möglich.

Der letzte verbleibende Admin (beziehungsweise der letzte Benutzer überhaupt) kann sich nicht löschen.

Als Admin löschen

Im Benutzer-Detail eines Kontos steht das Löschen zweistufig bereit. Auch hier wird zunächst nur vorgemerkt.

Die Aufbewahrungsfrist

Vorgemerkte Konten und Titel verschwinden sofort aus der Nutzung, werden aber erst nach einer einstellbaren Frist (Standard 28 Tage) endgültig entfernt. Bis dahin kann ein Admin unter Server-Einstellungen → Zum Löschen vorgemerkt die Löschung zurücknehmen oder sofort ausführen.

Der Benutzername bleibt bis zur endgültigen Löschung reserviert — ein Versuch, ihn neu zu vergeben, liefert eine erklärende Meldung statt eines rätselhaften „schon vorhanden“.

Mit dem Konto verschwinden Playlists, Favoriten, Einstellungen und der persönliche Verlauf. Erhalten bleibt nur der anonyme, kontenlose Beliebtheitszähler der Titel — er lässt keinen Rückschluss auf Personen zu.