Foutmelding '401 Unauthorized' bij aanpassen token (ANVA Hub)

Probleem

Bij het aanpassen van het token van een API op ANVA Hub komt de foutmelding ‘401 Unauthorized’.

Oorzaak

Als je het token aanpast krijg je altijd een '401 Unauthorized' status code terug. Deze foutmelding betekent dat er iets mis is met het token dat je hebt gebruikt.

Mogelijke oorzaken:

• Het token kan oneigenlijk aangepast zijn waardoor het niet meer correct gesigned is en onbekend bij de server (ANVA Hub)
• Het token kan verlopen zijn:
  • Het token kan verlopen zijn doordat de expiratiedatum is bereikt.
  • Het token kan verlopen zijn doordat het client secret van de OpenID client is ververst door een administrator.
  • Het token kan verlopen zijn doordat alle actieve sessies van de OpenID client zijn beeindigd door een administrator.
• Het token kan helemaal vergeten zijn om mee te sturen in de header bij het uitvoeren van een api request.

JSON Web Token en geldigheidsduur

Het token is een jwt (JSON Web Token). Een JWT bestaat inhoudelijk uit claims die in een JSON-object zijn opgenomen. Deze claims zijn eenvoudig uit te lezen voor een JWT parser. In iedere JWT zit altijd een ‘exp’-claim die aangeeft tot wanneer het token geldig is. Het is aan de client (aanroeper van onze api’s) om te controleren of de expiratietijd van het token nog niet verstreken is voordat een aanroep van de api wordt uitgevoerd. Als het token al verlopen is, dan is het dus de bedoeling dat de client dit zelf opmerkt en eerst een nieuw token opvraagt.

Wordt toch een api call gedaan met een verlopen token, dan sturen we dus een '401 Unauthorized' response terug zonder verdere specifieke foutmelding.

Client secret vernieuwen en reeds uitgegeven tokens

Als het client secret wordt vernieuwd dan worden alle op dat moment uitgegeven tokens die nog geldig zijn per direct ongeldig verklaard.

Blijf je toch zo’n ongeldig verklaard token gebruiken bij het aanroepen van de api, dan sturen we een '401 Unauthorized' terug zonder verdere specifieke foutmelding.

Meer specifieke foutmelding teruggeven bij '401 Unauthorized'

Vanwege security redenen nemen we geen extra informatie in de response op die meer vertelt over de exacte reden van de '401 Unauthorized'.