Ein Fundament für SSO, Passkey & mehr
Firmenkunden wollen sich mit ihrem Unternehmens-Login anmelden, Endkunden zunehmend passwortlos per Passkey. Jedes dieser Verfahren braucht dasselbe Fundament: Benutzer finden oder anlegen, Sitzung aufbauen, Zugangsdaten sicher ablegen. Das Authentifizierungs-Framework stellt dieses Fundament einmal bereit, damit die Verfahren darauf aufsetzen statt es jeweils neu zu bauen.
Was der OPAL für dich löst
1.Bietet eine feste Schnittstelle für Anmeldeverfahren: SSO, Passkey und eigene Verfahren docken an, ohne den Shop anzupassen.
2.Speichert die Zugangsdaten der Anbieter verschlüsselt, mit dem Schlüssel außerhalb der Datenbank – und je Shop getrennt.
3.Übernimmt Benutzeranlage, Konten-Verknüpfung, Admin-Anmeldung, Abmeldung und Session – zentral für alle Verfahren.
Vorher / Nachher
SSO oder Passkey müssten samt Anbindung an den Shop von Grund auf gebaut werden.
Eine feste Schnittstelle trägt SSO, Passkey und künftige Verfahren auf einem gemeinsamen Ablauf.
Jedes Anmeldeverfahren würde Session, Benutzeranlage und Verschlüsselung selbst bauen – doppelter Aufwand, unterschiedliches Verhalten.
Das Framework übernimmt Benutzersuche, Anlage, Verschlüsselung und Session – ein Konfigurationsort für alle Verfahren.
Zugangsdaten der Anbieter müssten selbst verschlüsselt und verwaltet werden.
Zugangsdaten werden mit AES-256-GCM verschlüsselt, der Schlüssel liegt außerhalb der Datenbank, die Daten sind je Shop getrennt.
Teil der OPAL-Familie
OPALe sind Bausteine von OXID eSales: eine erprobte, solide Basis, die an deine Systemlandschaft angepasst und in deinen Shop integriert werden muss.
Funktionen im Überblick
OXID
<OPAL/>
Provider-Interface & Registry
Anmeldeverfahren implementieren AuthenticationProviderInterface (Initiation, Callback, Login-Optionen) und registrieren sich per DI-Service-Tag opal.authentication_provider. Die ProviderRegistry erkennt aktive Provider automatisch und filtert nach Kontext (Frontend / Backend).
Verschlüsselte Credential-Ablage
Provider-Daten werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel wird per HKDF-SHA256 aus sConfigKey in config.inc.php – außerhalb der Datenbank – abgeleitet. Eine reine DB-Exfiltration bleibt damit unlesbar.
Benutzerbereitstellung & Account Linking
User-Lookup per E-Mail oder Subject-Claim, optionales Auto-Create beim ersten Login, Update-on-Login aus Provider-Claims sowie ein Account-Linking-Bereich, in dem Kunden externe Identitäten selbst verknüpfen und trennen.
Sicherheit an einer Stelle
Zum Framework gehören der Schutz des Anmeldevorgangs gegen manipulierte Rückleitungen und Fremdanfragen sowie verständliche Meldungen für den Kunden. Sicherheitskritische Logik liegt damit an einer Stelle statt in jedem Verfahren erneut.
Multi-Shop-Isolation
Zugangsdaten sind je Shop getrennt gespeichert. Für Mall-Betrieb lassen sie sich per Einstellung shop-übergreifend nutzen – das setzt die Enterprise Edition mit aktiviertem Mall-Sharing voraus.
Admin-SSO & Single Logout
HMAC-signierte One-Time-Token (5-Minuten-Fenster, Replay-Prevention) für den nahtlosen Wechsel ins Backend nach SSO-Login. Single Logout koordiniert die Abmeldung zwischen Shop und Identity Provider.
Für wen ist der OPAL gedacht?
Shop-Betreiber / E-Commerce Manager (B2B / SSO)
Deine Kunden sollen sich per Corporate Identity (Keycloak, Azure AD) oder passwortlos per Passkey anmelden – und du willst dieselbe Anmelde-Infrastruktur an einem Ort konfigurieren.
Was der OPAL hier konkret bringt
Das Framework stellt Schnittstelle, verschlüsselte Ablage der Zugangsdaten, Benutzeranlage und Session zentral bereit. Automatische Benutzeranlage, Datenabgleich beim Login und die gemeinsame Nutzung über mehrere Shops pflegst du an einer Stelle – nicht pro Verfahren.
Häufige Fragen
Preis
5 €/Monat
OPALe sind auch in Abonnement-Paketen erhältlich.