OAuth und Mandate: warum die RAR-Brücke zurückgezogen ist
Mandact hatte eine Brücke gebaut, die Mandate in OAuth-Access-Tokens einbettete (RFC 9396) und den Status per Introspection lieferte (RFC 7662). Sie ist zurückgezogen: /v1/oauth/token und /v1/oauth/introspect antworten mit 410 Gone. Diese Seite erklärt, warum — und welcher Weg stattdessen trägt.
Warum zurückgezogen
Die Tokens lagen im Prozessspeicher: In einer Serverless-Umgebung kennt Instanz B nicht, was Instanz A ausgestellt hat. Schwerer wog, dass ein Aufruf ohne Organisationsbezug lief — die Mandantenbindung griff nicht. Eine Route, die man «nur nicht benutzen soll», ist eine Falle; 410 ist die ehrliche Antwort.
Der Weg stattdessen
OAuth bleibt, wofür es gebaut ist: technischer Zugriff. Die Befugnis prüft die Prüfstelle zusätzlich — als SD-JWT VC per OID4VP oder mit einem Aufruf von /v1/verify vor der Handlung. Beides läuft mit Limits, Eskalation und signiertem Beleg.
Kommt die Brücke zurück?
Nur mit persistenter Token-Haltung und durchgängiger Mandantenbindung — und erst, wenn Tests das belegen. Bis dahin steht sie in der API-Referenz und auf dieser Seite als zurückgezogen.
Stand
Zurückgezogen: /v1/oauth/token und /v1/oauth/introspect antworten 410 Gone (siehe KNOWN_LIMITATIONS §9).