Technische Spezifikationen

Referenz, Scopes und Sicherheit

OpenID-Connect-Scopes, JWT-/UserInfo-Claims, OAuth-2.1-Fehlercodes und Ratenbegrenzungen.

1. Scopes und Claims für Drittanbieter-Apps

Orneos setzt das Prinzip der Datenminimierung (DSGVO) um: Es werden ausschließlich Claims zurückgegeben, die den vom Nutzer gewährten Scopes entsprechen.

Scope Zurückgegebene Claims Beschreibung
openid sub, iss, aud, exp, iat, auth_time Stabile eindeutige Kennung des Orneos-Kontos (Pflicht).
profile name, preferred_username, picture Anzeigename, Orneos-Benutzername und Avatar-URL.
email email, email_verified E-Mail-Adresse @orneos.eu des Kontos (immer bestätigt).

2. OAuth-2.1-Fehlercodes

Code Hauptursache Empfohlene Maßnahme
invalid_request Fehlender Parameter oder fehlende S256-PKCE-Challenge. Prüfen Sie code_challenge und code_challenge_method=S256.
invalid_client Unbekannter Client, falsches Geheimnis oder gesperrte Anwendung. Prüfen Sie client_id und client_secret in der Konsole.
invalid_grant Code abgelaufen (> 120 s), bereits genutzt, falscher code_verifier oder widerrufenes Refresh-Token. Starten Sie einen neuen Autorisierungs-Flow.
access_denied Nutzer hat abgelehnt oder das Limit (10 Nutzer) einer ungeprüften App ist erreicht. Reichen Sie die Anwendung vor dem Produktivbetrieb zur Prüfung ein.
rate_limited Zu viele Anfragen von derselben IP oder client_id. Verwenden Sie exponentielles Backoff (HTTP 429).

3. Kontingente und Ratenbegrenzungen

  • Anwendungen pro Konto: maximal 5 Anwendungen, maximal 10 Weiterleitungs-URIs pro Anwendung.
  • Ungeprüfter Modus (Sandbox): auf 10 verschiedene Nutzer begrenzt, bis die Anwendung verifiziert wurde.
  • OAuth-Ratenbegrenzung: 120 Anfragen / 15 Min. auf /oauth/authorize sowie 60 Anfragen / 15 Min. auf /oauth/token und /oauth/revoke pro (IP, Client).
  • Gültigkeitsdauer: Autorisierungscode 120 s · access_token 3600 s (1 Std.) · refresh_token 90 Tage (Rotation bei jeder Nutzung).