Abmeldung

Ein Frontend-Benutzer bleibt bis zu 7 Tage ohne Nutzung (höchstens 30 Tage) auf den Anmeldeseiten angemeldet, sodass die nächste Anmeldung von einem beliebigen Frontend der Organisation ohne Passwort durchgeht. Die eigene Abmeldung Ihres Frontends beendet diese Sitzung nicht, und das ist an einem gemeinsam genutzten Computer falsch. Ein Frontend meldet einen Benutzer daher in zwei Schritten ab:

1. Beenden Sie Ihre eigene Sitzung: Verwerfen Sie die Tokens des Benutzers und Ihr Sitzungs-Cookie.
2. Schicken Sie den Browser zur Abmeldeseite, als Navigation auf oberster Ebene (ein Link oder eine Weiterleitung, kein fetch und kein iframe):

<studio>/oauth/sign-out?client_id=<Ihre Client-ID>

Die Abmeldeseite

Die Seite im Anmelde-Branding der Organisation bietet zwei Schaltflächen:

• „Abmelden“ beendet die Sitzung nur in diesem Browser. Die Tokens anderer Frontends bleiben bis zu ihrem Ablauf gültig; jedes Frontend beendet seine eigene.
• „Von allen Websites und Apps abmelden“ beendet jede Sitzung des Benutzers bei der Organisation, auf jedem Gerät: die Sitzungen der Anmeldeseiten und die OAuth-Sitzung jedes Frontends. Ab dann funktioniert das Refresh-Token keines Frontends mehr: Behandeln Sie den abgewiesenen Refresh als Abmeldung. Bereits ausgestellte Zugriffstokens bleiben bis zu ihrem Ablauf gültig, höchstens eine Stunde.

Beide Schaltflächen führen den Browser zur Start-URL Ihres Frontends zurück. Es gibt keine Abmelde-URIs: Die Seite nimmt keine Rücksprungadresse, sie ist also keine offene Weiterleitung. Ohne Sitzung sagt die Seite, dass der Benutzer abgemeldet ist, und verlinkt auf die Start-URL.

Die Seite meldet niemanden von selbst ab. Jede Schaltfläche ist ein POST von der Seite aus, sodass ein Link, ein Bild oder eine andere Website niemanden abmelden kann; der Benutzer entscheidet immer selbst. Eine unbekannte Client-ID oder die eines Frontends, das die Anmeldeseiten nicht bedienen, erhält eine neutrale Fehlerseite und keine Weiterleitung.