Authorize server 2BA

Introductie:

Om als shared datacenter maximale beveiliging te kunnen blijven garanderen voor ons platform laten wij periodiek penetratietesten uitvoeren voor de Online Conditie Server (OCS), Unifeed en de API Webservices. Als gevolg hiervan is er een wijziging gepland in ons aan- en afmeldproces en het cookie- en sessiebeleid. Met dit bericht informeren wij wat de consequenties zijn van deze wijziging voor u als gebruiker of IT partner.

Huidige situatie:

Binnen de applicaties van 2BA wordt momenteel een centraal cookie¹ gebruikt voor het ‘onthouden’ van de inloggegevens. De diverse applicaties (Unifeed, My-omgeving, OCS) lezen ditzelfde cookie uit waardoor de gebruiker na inloggen op alle platformen ingelogd is. Bij het eventueel uitloggen wordt dit centrale cookie gewist zonder dat de lopende (database)sessies per applicatie gesloten worden.

Nieuwe situatie:

In de nieuwe situatie zal het centrale cookie komen te vervallen. Bij het opstarten van een applicatie (zoals OCS, Unifeed of My-omgeving) zal die applicatie via een roundtrip (roundtrip is een redirect naar de authorize-server (URL) en weer terug naar de applicatie) met de autorisatie-server controleren of de gebruiker al bekend is/ingelogd is. De authorize-server herkent de gebruiker als deze net al een keer ingelogd is (sessie) of als het nieuwe vinkje “inlog onthouden” geactiveerd is. Bij het uitloggen worden ook eventueel andere lopende sessies uitgelogd²

Planning:

De wijziging/ migratie staat gepland voor 16 juni 2022. Vanaf 30 mei 2022 stellen we onze acceptatie-omgeving beschikbaar om deze wijziging te testen.

Impact:

Wij voorzien de volgende consequenties:

• Bij het gebruik van de OCS, Unifeed, My-omgeving (in de vorm van “als website in een browser) zal, na de migratie, opnieuw ingelogd moeten worden.
• Bij het gebruik van de OCS, Unifeed, My-omgeving in een reguliere browser, zal na migratie, standaard steeds opnieuw ingelogd moeten worden tenzij het vinkje “inlog onthouden” ingeschakeld is.
• Bij het starten van de OCS, Unifeed, My-omgeving zal steeds een roundtrip naar de autorisatie-server plaatsvinden (de browser wisselt even tussen applicatie – authorize – applicatie).
• De API maakt geen gebruik van cookies gezien de API met tokens werkt, dit blijft ongewijzigd.
• Er is geen impact indien u Unifeed in de geïntegreerde vorm gebuikt, bijv. binnen ERP of PIM pakket.

Aangezien het een fundamentele wijziging in de authenticatie betreft, adviseren wij, ondanks dat wij verwachten dat de impact laag is, om dit goed voor uw klanten te testen via:

• https://unifeed.accept.2ba.nl/
• https://my.accept.2ba.nl/
• https://ocs.accept.2ba.nl/