Eine gehostete Login-Seite statt eigener Anmeldeformulare in Ihrer App
Eine gehostete Login-Seite ist eine Anmeldeseite, die Ihr Identitätsanbieter bereitstellt: Ihre Anwendung schickt Benutzer dorthin und bekommt sie angemeldet zurück. Sie ist besser als eigene Anmeldeformulare in Ihrer App, weil Sicherheitsfixes, Passkeys, Multi-Faktor-Authentifizierung und SSO an einem Ort liegen, der sich ohne ein Release von Ihnen weiterentwickelt. Die Skycloak Platform ist dafür gebaut, diese Seite für jeden Ihrer Mandanten bereitzustellen, unter seiner eigenen Anmeldeadresse oder unter Ihrer Domain.
Wie eine gehostete Login-Seite funktioniert
Klickt ein Benutzer auf Anmelden, leitet Ihre Anwendung den Browser mit einer OpenID-Connect-Anfrage zur gehosteten Login-Seite weiter, die angibt, welche App anfragt und wohin der Benutzer zurückgeschickt wird. Der Benutzer meldet sich auf dieser Seite an, und der Browser kehrt mit einem Autorisierungscode zu Ihrer App zurück, den Ihr Backend gegen Tokens eintauscht. OAuth 2.1 schreibt für diesen Ablauf PKCE (Proof Key for Code Exchange) vor, das den Code an die Anfrage bindet, die ihn ausgelöst hat, sodass ein abgefangener Code nicht verwendet werden kann. Ihre Anwendung sieht nie das Passwort und muss nur die Tokens prüfen, die sie erhält.
Jede Umgebung Ihres Produkts, etwa Produktion, Staging und Entwicklung, ist auf der Plattform ein Mandant mit eigenen Benutzern, Einstellungen und einer eigenen Anmeldeadresse auf skycloakid.com. Eigene Domains stehen im Plan, sodass Sie die Seite unter eine eigene Adresse legen können und Ihre Benutzer sich unter einem Namen anmelden, den sie kennen. Die Anmeldenachrichten eines Mandanten, etwa zum Zurücksetzen des Passworts, gehen von seiner eigenen Subdomain aus und bleiben so von denen Ihrer anderen Mandanten getrennt.
Warum eine gehostete Seite besser ist als Anmeldeformulare in Ihrer App
Ein Anmeldeformular wirkt klein, doch dahinter stehen die Speicherung von Passwörtern, Grenzen für das Erraten von Passwörtern, die Kontowiederherstellung, die MFA-Einrichtung und der Schutz vor Credential Stuffing, also Angreifern, die auf anderen Seiten abgeflossene Passwörter durchprobieren. Liegt dieser Code in Ihrer App, wartet jeder Fix auf Ihr nächstes Release, und mobil wartet er zusätzlich darauf, dass Benutzer die App aktualisieren. Mit einer gehosteten Login-Seite erreicht ein Sicherheitsfix im Anmeldeablauf jeden Benutzer bei seiner nächsten Anmeldung, ohne Änderung auf Ihrer Seite.
Dasselbe gilt für neue Anmeldemethoden. Kommen Passkeys oder eine neue MFA-Option auf die Seite, kann jede App, die dorthin weiterleitet, sie anbieten, statt dass Ihre Web-, Mobil- und Desktop-Apps die Funktion jeweils selbst bauen. Ihre Benutzer erleben außerdem in allen Ihren Produkten dieselbe Anmeldung, und weil die Seite eine Single-Sign-On-Sitzung führt, sind sie nach der Anmeldung bei einer Ihrer Apps auch in den anderen angemeldet.
Ein Ort für Passkeys, MFA und Enterprise SSO
Passkeys, Multi-Faktor-Authentifizierung und eine Prüfung auf kompromittierte Passwörter anhand der Daten von Have I Been Pwned stehen im Plan der Plattform für die gehostete Login-Seite. Ist dieser Dienst nicht erreichbar, findet die Anmeldung trotzdem statt und das Passwort wird gegen eine lokale Kopie der Daten geprüft, sodass ein Ausfall anderswo Ihre Benutzer nicht aussperrt. Weil all das auf einer Seite läuft, richten Sie eine Anmeldemethode einmal pro Mandant ein statt einmal in jeder App.
Enterprise SSO über SAML ist ebenfalls geplant: Möchte einer Ihrer Geschäftskunden, dass sich seine Mitarbeitenden über seinen eigenen Identitätsanbieter anmelden, schickt die gehostete Seite diese Benutzer dorthin, und Ihr Anwendungscode bleibt unverändert. Organisationen und Rollen pro Organisation halten die Benutzer und Berechtigungen jedes Geschäftskunden getrennt. In einer Demo sehen Sie die Seite selbst und welche dieser Methoden Sie dort heute nutzen können.
Häufige Fragen
Kann die gehostete Login-Seite meine eigene Domain nutzen?
Eigene Domains stehen im Plan der Plattform. Jeder Mandant beginnt mit einer Anmeldeadresse auf skycloakid.com, und Sie können darauf eine eigene Domain setzen, damit sich Benutzer unter einer Adresse anmelden, die sie kennen.
Sieht meine Anwendung jemals das Passwort des Benutzers?
Nein. Der Benutzer gibt sein Passwort auf der gehosteten Login-Seite ein oder nutzt einen Passkey, und Ihre Anwendung erhält nur einen Autorisierungscode, den sie gegen Tokens eintauscht.
Sehen Sie sich die Skycloak Platform selbst an
Buchen Sie eine Demo, und wir zeigen Ihnen die Plattform mit Blick auf Ihre eigenen Anmeldeabläufe.