JWT (JSON Web Token)

Ein JSON Web Token (JWT) ist ein kompaktes, base64-URL-codiertes Token, das Identitätsangaben (Benutzer-ID, Abo-Stufe, Ablaufzeit, Geltungsbereich) trägt und von Ihrem Authentifizierungsserver signiert wird. Für die Anbindung an Ihr Login- und Paywall-System erwartet Logora die Identitätsdaten in diesem Format.

Was Logora bei jedem JWT prüft

• Signaturalgorithmus: standardmäßig RS256 / ES256 (asymmetrisch). HS256 wird unterstützt, aber nicht empfohlen.
• Signatur: Prüfung mit dem öffentlichen Schlüssel Ihres Identitätsanbieters (IdP; einmal abgerufen und zwischengespeichert).
• Aussteller (iss): muss mit dem von Ihnen registrierten IdP übereinstimmen.
• Zielgruppe (aud): muss mit Ihrer Logora-Client-ID übereinstimmen.
• Ablaufzeit (exp): abgelaufene Tokens werden abgewiesen.
• Optionale benutzerdefinierte Claims: Abo-Stufe, Paywall-Ebene, Gamification-Punkte – damit lassen sich Premium-Debatten freischalten und Badges anzeigen.

Backchannel-Logout (seit April 2026)

Meldet sich eine Leserin oder ein Leser auf Ihrer Website ab, kann Ihr IdP die Backchannel-Schnittstelle von Logora aufrufen und so die laufende Sitzung im Kommentar-Widget beenden. Keine veralteten Sitzungen mehr, keine ärgerlichen „Ich habe mich doch abgemeldet und bin trotzdem noch eingeloggt“-Fälle. Entspricht dem Standard OpenID Connect Back-Channel Logout 1.0.

Häufige Fallstricke

• Uhrzeitabweichung (Clock Skew) zwischen Ihrem IdP-Server und dem von Logora, abgefangen durch eine Toleranz von 30 Sekunden bei exp und iat.
• Refresh-Tokens für lange Lesesitzungen: Empfohlen ist eine Lebensdauer von 15–30 Minuten.
• Benennung benutzerdefinierter Claims: Verwenden Sie Claims mit Namensraum (https://logora.com/subscription-tier) statt allgemeiner Namen, die mit anderen kollidieren können.

Siehe SSO und OAuth 2.0 / OIDC für den größeren Zusammenhang.