SSO‑Begriffe einfach erklärt.

Ein Login für viele Anwendungen. Nutzer melden sich einmal an und erhalten Zugriff auf mehrere Dienste.

OpenID Connect – Erweiterung von OAuth 2.0 um Identität. Liefert ein id_token mit Benutzerinformationen.

Standard, der regelt, wie Apps Zugriff auf APIs bekommen – ohne Passwörter zu teilen.

Zustimmung des Nutzers zu den angefragten Scopes. Der Nutzer entscheidet, welche Daten freigegeben werden.

Freigaben, die definieren, welche Daten oder Aktionen erlaubt sind. Beispiel: openid profile email.

Einzelne Datenpunkte im Token, z.B. email, name, sub. Scopes bestimmen, welche Claims zurückgegeben werden.

Eindeutige Benutzer-ID im Token. Bleibt für einen Nutzer bei einem Client immer gleich.

Signierter JWT mit Identitätsinformationen. Enthält iss, sub, aud. Nicht für API‑Zugriff verwenden.

Zugriffstoken für APIs. Steuert, welche Daten eine App abrufen darf. Als Bearer Token im Authorization-Header senden.

Langlebiges Token, um neue Access Tokens zu erhalten ohne erneuten Login. Wird bei Rotation ausgetauscht.

Kurzlebiger Code, der im Browser übergeben und serverseitig gegen Tokens getauscht wird.

JSON Web Token – Base64-kodierte, signierte Datenstruktur. Besteht aus Header, Payload und Signatur.

Token, das im Authorization: Bearer Header an APIs gesendet wird. Wer das Token hat, hat Zugriff.

Proof Key for Code Exchange – Schutzmechanismus für öffentliche Clients (Mobile, SPAs), verhindert Code‑Diebstahl.

CSRF‑Schutz: Zufälliger Wert, der verhindert, dass Login‑Antworten von Angreifern missbraucht werden.

Einmaliger Wert, der Tokens an die Login‑Session bindet. Schützt vor Replay-Angriffen.

Mechanismus, um Tokens aktiv zu invalidieren (z.B. bei Logout). Endpoint: /oidc/revoke.

Prüft, ob ein Token gültig ist und gibt Metadaten zurück. Für Resource Server ohne JWT-Validierung.

Aussteller des Tokens. Muss immer geprüft werden, um sicherzustellen, dass das Token vom richtigen Provider kommt.

Empfänger des Tokens (Client ID). Tokens mit falscher Audience müssen abgelehnt werden.

Endpunkte automatisch finden via /.well-known/openid-configuration. Keine Hardcoded URLs nötig.

JSON Web Key Set – Public Keys im JSON‑Format zur Signaturprüfung von Tokens. Endpoint: /.well-known/jwks.json.

Öffentlicher Identifier der Anwendung. Wird bei jedem OIDC-Request mitgesendet.

Geheimes Passwort für vertrauliche Clients. Niemals im Frontend oder Mobile Apps verwenden.

URL, zu der der Browser nach dem Login zurückgeleitet wird. Muss exakt mit der Client-Konfiguration übereinstimmen.

Art des Token-Austauschs: authorization_code, refresh_token, client_credentials, device_code.