From 67af646f2e167f622895bbfd339a9bdd57783d93 Mon Sep 17 00:00:00 2001
From: Thomas Bartelt <tb@tel.bar>
Date: Sun, 13 Sep 2026 21:34:07 +0200
Subject: [PATCH] fix(backend): Secret-Felder ohne type=password --
 Browser-Autofill ueberschrieb die Webhook-ID

---
 themes/admin/templates/admin_payment_method_editor.tpl | 5 ++++-
 1 file changed, 4 insertions(+), 1 deletion(-)

diff --git a/themes/admin/templates/admin_payment_method_editor.tpl b/themes/admin/templates/admin_payment_method_editor.tpl
index e7653e9..6a324c4 100644
--- a/themes/admin/templates/admin_payment_method_editor.tpl
+++ b/themes/admin/templates/admin_payment_method_editor.tpl
@@ -52,7 +52,10 @@
 					{foreach from=$provider_secrets item=sec}
 					<div class="edit_element_2_5">
 						<label>{$sec.label|escape}</label>
-						<input name="secret_field[{$sec.name}]" value="" type="password" autocomplete="new-password" placeholder="{if $sec.since}hinterlegt, leer lassen = unver&auml;ndert{else}noch nicht hinterlegt{/if}" {if !$provider_key_ok}disabled{/if} />
+						{* Bewusst KEIN type="password": Chrome fuellt Passwortfelder mit gespeicherten
+						   Kennwoertern und ueberschreibt beim Speichern die Secrets (passiert am 13.09.2026
+						   mit der Webhook-ID). Textfeld mit CSS-Maskierung, Autofill aus. *}
+						<input name="secret_field[{$sec.name}]" value="" type="text" autocomplete="off" data-lpignore="true" data-1p-ignore spellcheck="false" style="-webkit-text-security:disc;" placeholder="{if $sec.since}hinterlegt, leer lassen = unver&auml;ndert{else}noch nicht hinterlegt{/if}" {if !$provider_key_ok}disabled{/if} />
 					</div>
 					<div class="edit_element_3_5">
 						<br>{if $sec.since}hinterlegt seit {$sec.since|escape}{else}<span style="color:#b00;">fehlt</span>{/if}