Ember + CrowdSec:
Ein TUI-Plugin gegen die 50.000-Decisions-Wand

Werkzeug

Kurzer Caddy-Bezug: Was ist Ember?

Plattform

Plugin-System — der xcaddy-Hebel fuer TUIs

Plugins werden compile-time per blank-import in ein Custom-Ember-Binary dazugelinkt. Das angereicherte Binary hat alle Tabs des Originals plus den zusaetzlichen CrowdSec-Tab — kein Fork, kein Maintainer-Coordination-Aufwand.

Stolperstein

Die Auth-Falle: Bouncer-Key oder JWT — beides nie

Erste Implementation, JWT-only: GET /v1/decisions antwortet mit 401 token rejected twice. Was nach einem buggy Token aussah, ist Architektur.

Setup auf der LAPI-Seite: zwei Befehle, zwei Credentials.

# Machine-Account fuer JWT-Login (Alerts + Schreibzugriffe):
cscli machines add ember-tui --auto -f -

# Bouncer-Key fuer GET /v1/decisions:
cscli bouncers add ember-tui-bouncer

--auto -f - auf machines add umgeht den Abbruch, wenn /etc/crowdsec/local_api_credentials.yaml bereits existiert.

Datenmodell

Decisions vs. Alerts — ein subtiler Unterschied

Der Unterschied klingt klein, ist aber konsequent durchgezogen: Eine Decision ist die aktive Konsequenz (Ban, Captcha, Throttle) auf eine IP. Ein Alert ist das ausloesende Ereignis ("nginx-bf-wordpress-enum auf 192.0.2.1, 12 Hits"). 1:n — ein Alert kann mehrere Decisions tragen, eine Decision lebt aber auch ohne dauerhaften Alert-Verweis weiter.

Origin-Filter

Der "die Liste explodiert"-Moment

CrowdSec liefert auf GET /v1/decisions ohne Filter alle aktiven Bans — eigene Engine, manuelle cscli-Eintraege, der CAPI-Threat-Intel-Feed und alle abonnierten Community-Listen (firehol, tor, ...). Auf einem aktiven Knoten sind das schnell 50.000+ Eintraege.

CrowdSec — 12 decisions, 4 alerts (filter: local+manual, c: include CAPI)
CrowdSec — 50217 decisions, 4 alerts (filter: ALL, c: hide CAPI)

Cannot unban CAPI decision (will re-pull). Use w (whitelist) instead.

Schreibzugriffe

Unban, Whitelist, Audit — Schreiben aus der TUI

Lesen ist die haelfte. Wer beim Vorbeischauen sieht, dass die IP eines Kunden an einer Brute-Force-Liste klebt, will nicht erst in eine andere Shell wechseln, um cscli decisions delete zu tippen. Hotkey d, Confirm, fertig.

{"ts":"2026-05-07T12:34:56Z","action":"unban","ip":"192.0.2.1","decision_id":12345,"status":"ok"}
{"ts":"2026-05-07T12:35:08Z","action":"whitelist","ip":"192.0.2.7","duration":"24h","reason":"manual whitelist via ember-tui","status":"ok"}
{"ts":"2026-05-07T12:36:11Z","action":"unban","ip":"192.0.2.9","decision_id":9999,"status":"error","error":"delete decision 9999: status 500: boom"}

Auth-Header-Split

Zwei Methoden, zwei Header

Im Fetcher leben beide Auth-Pfade nebeneinander. bouncerGet setzt X-Api-Key, authedGet setzt Authorization: Bearer und reagiert auf 401 mit Token-Invalidate plus Retry — exakt einmal.

// Decisions: statischer Bouncer-Key, kein Refresh.
req.Header.Set("X-Api-Key", f.bouncerKey)

// Alerts + Write-Ops: JWT mit One-Shot-Retry.
req.Header.Set("Authorization", "Bearer "+token)
if resp.StatusCode == 401 {
    f.auth.Invalidate()
    continue // retry once with fresh token
}

Konfiguration laeuft komplett ueber Environment-Variablen mit dem Praefix EMBER_PLUGIN_CROWDSEC_. Ember strippt den Praefix und reicht den Rest lowercase als PluginConfig.Options-Map ans Plugin durch.

EMBER_PLUGIN_CROWDSEC_LAPI_URL=http://127.0.0.1:8080
EMBER_PLUGIN_CROWDSEC_MACHINE_ID=ember-tui
EMBER_PLUGIN_CROWDSEC_MACHINE_PASSWORD=<...>
EMBER_PLUGIN_CROWDSEC_BOUNCER_KEY=<...>

Dieses Plugin ist fuer Localhost-LAPI ausgelegt. Wer eine entfernte LAPI ansprechen muss, tunnelt sie ueber WireGuard oder NetBird und laesst das Plugin weiter http://127.0.0.1 sehen. Plaintext-HTTP gegen einen Off-Host wuerde Bouncer-Key und Machine-Passwort im Klartext ueber die Leitung schicken — explizit aus Scope.

Repo

Adoption

Das Plugin liegt auf GitHub unter github.com/rewulff/ember-crowdsec, MIT-Lizenz. Quickstart im einen Befehl: go install github.com/rewulff/ember-crowdsec/cmd/ember-custom@latest. Vor dem ersten Lauf zwei cscli-Befehle plus eine Env-Datei mit den Credentials — alles im README. Wer noch keinen Caddy + CrowdSec-Stack laufen hat, findet im Repo unter docs/CADDY-CROWDSEC-SETUP.md den vollstaendigen Setup-Guide.