OpenID Connect

OpenID Connect (OIDC) erweitert OAuth 2.0 um eine Authentifizierungsfunktion. Neben dem Zugriffstoken stellt der Autorisierungsserver ein ID-Token aus – ein JWT, dessen Ansprüche den Benutzer identifizieren (Subjekt, Aussteller, Zielgruppe, Ausgabe und Ablaufzeit) und das der Client mit den öffentlichen Schlüsseln des Anbieters verifizieren kann. "Sign in with Google" und die meisten Single-Sign-On-Lösungen für Unternehmen basieren auf OIDC.

So funktioniert es

Ein Client ermittelt die Endpunkte und Funktionen eines Anbieters anhand dessen Discovery-Dokuments unter /.well-known/openid-configuration , fordert den OpenID-Scope in einem Autorisierungscode-Flow an, erhält ein ID-Token und validiert dessen Signatur anhand der unter der JWKS-URL des Anbieters veröffentlichten Schlüssel. Er muss außerdem Aussteller, Zielgruppe und Ablaufdatum prüfen.

Das Missverständnis

Das Dekodieren des ID-Tokens entspricht dessen Validierung. Jeder kann ein JWT dekodieren; um den darin enthaltenen Angaben zu vertrauen, muss die Signatur mit dem richtigen Schlüssel überprüft und bestätigt werden, dass das Token vom erwarteten Anbieter für diesen Client ausgestellt wurde und nicht abgelaufen ist.

Probieren Sie es hier aus

Die Modern Identity API liefert ein Discovery-Dokument unter GET /identity/v1/.well-known/openid-configuration und einen Schlüsselsatz unter GET /identity/v1/jwks ; der JWT-Decoder im Tools-Bereich zeigt an, was ein Token enthält.

Verwandte Inhalte

• What a JWT is
• JWT-Decoder

Quellen

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

Weitere Begriffe

• JWT (JSON Web Token) — Ein kompaktes Format für Claims, als signiertes JWS oder verschlüsseltes JWE.
• JWKS — Ein JSON Web Key Set – die öffentlichen Schlüssel, die ein Aussteller veröffentlicht, damit jeder die von ihm signierten Token überprüfen kann.
• Bearer-Token — Ein Ausweisdokument, bei dem allein der Besitz Zugang gewährt – wer es besitzt, kann es benutzen.
• Aktualisierungstoken — Ein langlebiges Benutzerkonto, das ausschließlich dazu dient, neue, kurzlebige Zugriffstoken zu erhalten, ohne dass sich der Benutzer erneut anmelden muss.
• OAuth 2.0 — Das Standard-Framework, das es einer Anwendung ermöglicht, ein eingeschränktes Zugriffstoken zu erhalten, anstatt das Passwort des Benutzers zu verwalten.
• PKCE — Proof Key for Code Exchange – ein einmaliges Geheimnis, das verhindert, dass ein gestohlener OAuth-Autorisierungscode von jemand anderem eingelöst werden kann.

Diese Seite auf Englisch lesen

Alle Glossarbegriffe · Testtechniken · Alle 39 Mock-REST-APIs

Zuletzt aktualisiert 16. Oktober 2026