Ein Login für jedes Produkt, das Ihr Unternehmen betreibt.

Standard-OIDC, mit Discovery

Die Plattform veröffentlicht ein Discovery-Dokument unter /.well-known/openid-configuration und einen öffentlichen Schlüsselsatz unter /.well-known/jwks.json und stellt einen Userinfo-Endpunkt bereit.

Das veröffentlichte JWKS ist, was Ihren anderen Systemen erlaubt, ein Token unabhängig zu prüfen. Sie holen den öffentlichen Schlüssel und prüfen die Signatur selbst — sie halten also nie ein gemeinsames Geheimnis von uns, und eine Kompromittierung auf ihrer Seite wird nicht zu einer auf unserer.

Authorization Code Flow mit PKCE

Das Login nutzt den Authorization Code Flow mit PKCE, nimmt Code-Challenge und Methode bei der Authorize-Anfrage an und verlangt den Verifier beim Token-Austausch.

PKCE schliesst das Abfangfenster beim Authorization Code — den Angriff, der den Implicit Flow obsolet gemacht hat. Es ist die aktuelle Empfehlung für jeden Client-Typ, nicht nur für Mobile.

Tokens sind RS256 und kurzlebig

Access- und ID-Tokens werden RS256 gegen den veröffentlichten Schlüsselsatz signiert und tragen eine Key-ID, damit ein Schlüssel rotiert werden kann, ohne jedes laufende Token ungültig zu machen. Access-Tokens sind als at+jwt typisiert.

Asymmetrische Signatur ist der Grund, warum ein delegierendes Produkt ein Token offline prüfen kann. Symmetrische Signatur würde verlangen, das Signiergeheimnis an jede Relying Party zu verteilen — und jede davon zu einem Ort machen, an dem Ihr Identitätssystem gefälscht werden kann.

Refresh-Rotation mit Wiederverwendungserkennung

Refresh-Tokens rotieren bei jeder Verwendung, und Wiederverwendung gilt als Diebstahl. Ein Refresh-Token vorzulegen, das bereits eingelöst wurde, widerruft die ganze Token-Familie, nicht nur das vorgelegte Token.

Das ist das Verhalten, das ein gestohlenes Refresh-Token eindämmbar macht. Ohne Rotation ist ein geleaktes Refresh-Token ein dauerhaftes Credential. Mit Rotation und Wiederverwendungserkennung können Angreifer und echte Person die Sitzung nicht beide weiter nutzen — der zweite Versuch beendet sie für alle, die diese Linie halten.

Passwörter und gespeicherte Geheimnisse

argon2id

Passwort-Hashing nutzt argon2id, den Gewinner der Password Hashing Competition. Alte Hashes aus einem früheren System werden erkannt und beim nächsten erfolgreichen Login transparent aufgerüstet.

AES-256-GCM

Anbieter-Keys sind im Ruhezustand mit authentifizierter Verschlüsselung versiegelt und unterstützen Schlüsselrotation — der Verschlüsselungsschlüssel kann sich ändern, ohne jedes gespeicherte Geheimnis im Voraus neu zu verschlüsseln. API-Antworten zeigen nur die letzten vier Zeichen eines Keys.

Geschlossen als Standard

Authentifizierung ist ein globaler Guard, und eine Route ist nur öffentlich, wenn sie ausdrücklich markiert ist. Ein vergessener Guard schliesst deshalb, statt still einen Endpunkt freizulegen.

Rollen und Zugriff pro Produkt

Der Zugriff ist rollenbasiert, und Berechtigungen steuern, welche Produkte ein Mitglied nutzen darf. Jemanden einmal zu entfernen entfernt ihn aus allem Nachgelagerten — der betriebliche Grund, Identität überhaupt zu zentralisieren.