OAuth Discovery

OAuth Discovery verwijst naar de mechanismen waarmee AI-agents en software automatisch de authenticatie-endpoints van een webservice kunnen vinden. Het maakt gebruik van gestandaardiseerde documenten zoals .well-known/openid-configuration en .well-known/oauth-authorization-server.

Waarom is dit relevant?

Naarmate AI-agents autonomer worden, moeten ze veilig kunnen authenticeren bij webservices. OAuth Discovery maakt dit mogelijk zonder handmatige configuratie: de agent ontdekt automatisch waar hij moet inloggen, welke scopes beschikbaar zijn, en hoe tokens worden verkregen.

OAuth Discovery en Agent-Readiness

Het aanbieden van OAuth Discovery endpoints is een signaal van AI-agent gereedheid. Het toont dat je website klaar is voor geautomatiseerde, veilige interactie met AI-systemen. De scanner controleert de aanwezigheid van deze endpoints.

Voorbeeld: OpenID Connect Discovery response

// GET https://example.com/.well-known/openid-configuration

{
  "issuer": "https://example.com",
  "authorization_endpoint": "https://example.com/oauth/authorize",
  "token_endpoint": "https://example.com/oauth/token",
  "userinfo_endpoint": "https://example.com/oauth/userinfo",
  "revocation_endpoint": "https://example.com/oauth/revoke",
  "jwks_uri": "https://example.com/.well-known/jwks.json",
  "scopes_supported": [
    "openid",
    "profile",
    "email",
    "read:products",
    "read:orders"
  ],
  "response_types_supported": [
    "code",
    "token",
    "id_token",
    "code id_token"
  ],
  "grant_types_supported": [
    "authorization_code",
    "client_credentials",
    "refresh_token"
  ],
  "token_endpoint_auth_methods_supported": [
    "client_secret_basic",
    "client_secret_post"
  ],
  "subject_types_supported": ["public"],
  "id_token_signing_alg_values_supported": ["RS256"]
}

Voorbeeld: OAuth Authorization Server Metadata

// GET https://example.com/.well-known/oauth-authorization-server

{
  "issuer": "https://example.com",
  "authorization_endpoint": "https://example.com/oauth/authorize",
  "token_endpoint": "https://example.com/oauth/token",
  "registration_endpoint": "https://example.com/oauth/register",
  "scopes_supported": ["read", "write", "admin"],
  "response_types_supported": ["code"],
  "grant_types_supported": [
    "authorization_code",
    "client_credentials"
  ],
  "code_challenge_methods_supported": ["S256"]
}

Hoe OAuth Discovery werkt voor AI-agents

1. Discovery: de AI-agent bezoekt /.well-known/openid-configuration of /.well-known/oauth-authorization-server om de beschikbare endpoints te ontdekken.
2. Registratie: als dynamic client registration beschikbaar is, registreert de agent zichzelf als OAuth-client.
3. Autorisatie: de agent initieert de OAuth-flow (typisch authorization code met PKCE) om toegang te krijgen.
4. Token verkrijgen: na succesvolle autorisatie ontvangt de agent een access token.
5. API-gebruik: de agent gebruikt het token om beveiligde API-endpoints aan te roepen.

Veelgestelde vragen