Afspraak met betrekking tot oauth security bij aanvragen token

[hamrt]

[rrutte]

Zie bijgesloten voorstel
OKE Authenticatie afspraken.docx

[mcginkel]

5. Vraag: Laten we ruimte open voor toepassen van andere authenticatiemechanismes dan OAuth2?

Zou ik zeggen van niet.

[mcginkel]

c. Client authentication: Send as Basic Auth header

Deze begrijp ik niet. Bedoel je dat we de tokens meesturen in het request als Authorization: Bearer header?

Of bij het aanvragen van het token? dan kan het ook in de params van het request

[hamrt]

Vergelijken van de oplossingen met intern gebruik

[roelgrif]

Nieuwe vraag (met name aan @rrutte ): zou er in deze specs niet iets over mTLS moeten staan? mogelijk als (beter) alternatief voor Basic Auth bij het opvragen van het token?

[hamrt]

@hamrt document Patrick vd Veer toevoegen

[mcginkel]

Wat open staat is de vraag of we bij een call naar het token endpoint geauthoriseerd moet zijn.

Voorstel: nee dat hoeft niet, dat gebeurd juist in deze call