diff --git a/docs/Detailinformationen/Authentifizierung_von_antragssendenden_Systemen.md b/docs/Detailinformationen/Authentifizierung_von_antragssendenden_Systemen.md index 71fb1b835eec255687ba5a89798577c0b7e65a14..0999ec94e0224109eb7066c50c515ec95c2b852b 100644 --- a/docs/Detailinformationen/Authentifizierung_von_antragssendenden_Systemen.md +++ b/docs/Detailinformationen/Authentifizierung_von_antragssendenden_Systemen.md @@ -15,10 +15,11 @@ Bei der Registrierung eines antragssendenden Systems als API-Client über das Se - Der Public Key des Onlineservice-Schlüsselpaar ## Schritt 2: Ausstellung von Berchtigungstokens für Onlineservices (Onlineservice-Token) -Wenn ein Online-Antragsservice einer Antragsteller:in ermöglichen möchte, einen Antrag an die FIT-Connect Antrags-API zu übermitteln, muss dieser zunächst mithilfe der OAuth Client-Credentials beim OAuth-Server ein Berechtigungstoken (im Folgenden "Onlineservice-Token") nach dem Standard *JSON Web Token* gemäß [RFC 7519](https://tools.ietf.org/html/rfc7519)) abrufen. Dieser vom OAuth-Server signierte Onlineservice-Token enthält den Public-Key des Online-Antragsdienstes, der bei der Registrierung im Self-Service-Portal festgelegt wurde. +Wenn ein Online-Antragsservice einer Antragsteller:in ermöglichen möchte, einen Antrag an die FIT-Connect Antrags-API zu übermitteln, muss dieser zunächst mithilfe der OAuth Client-Credentials beim OAuth-Server ein Berechtigungstoken (im Folgenden "Onlineservice-Token") nach dem Standard *JSON Web Token* gemäß [RFC 7519](https://tools.ietf.org/html/rfc7519)) abrufen. Dieser vom OAuth-Server signierte Onlineservice-Token enthält den Public-Key des Online-Antragsdienstes, der bei der Registrierung im Self-Service-Portal festgelegt wurde. Aus Sicht von API-Clients (antragssendende und -empfangende Systeme) sind die Inhalte dieses Tokens gemäß OAuth-Spezifikation als bedeutungslos anzusehen und SOLLTEN daher NICHT interpretiert werden. Eine Prüfung des Onlineservice-Token auf Korrektkeit und Gültigkeit erfolgt ausschließlich durch den Zustelldienst. ### Payload des Onlineservice-Tokens -Im Payload des signierten Onlineservice-Token MÜSSEN mindestens die folgenden [standartisierten Felder](https://www.iana.org/assignments/jwt/jwt.xhtml) gesetzt sein: +Der hier beschriebene Payload des Onlineservice-Tokens dient lediglich der Dokumentation/Spezifikation. Antragssendende Systeme müssen den Payload des Tokens nicht auswerten oder interpretiern können. +Im Payload des signierten Onlineservice-Token werden vom Authorisierungsdienst die folgenden [standartisierten Felder](https://www.iana.org/assignments/jwt/jwt.xhtml) gesetzt: | Feld | Inhalt | **Erläuterung** | | --------------- | --------------------------------------- | --------------- |