Log ud (hvad der skal ryddes)

1. Ryd din session — slet eller invalider din applikations session-cookie og server-side sessionspost.
2. IdP log ud (anbefalet når tilgængelig) — hvis Intastellar leverer en end-session- eller logout-URL, omdiriger brugeren dertil med parametre fra jeres integrationsreference (id_token_hint, post_logout_redirect_uri, client_id osv.), så SSO-cookies på identitetsdomænet ryddes.
3. Retur-URL — send brugeren til en offentlig side på dit site efter log ud er færdigt.

Uden trin 2 kan brugeren stadig være logget ind hos Intastellar og få stille log ind ved næste authorize-omdirigering.

Almindelige authorize-fejl

error (typisk)	Betydning
invalid_request	Manglende eller ugyldig parameter (f.eks. forkert redirect_uri).
unauthorized_client	Klient ikke tilladt til dette flow eller scope.
access_denied	Brugeren annullerede eller blokerede samtykke.
invalid_scope	Anmodet scope ikke tilladt for klienten.

Vis altid en sikker besked til brugeren og log error_description server-side for dit team.

Almindelige token-fejl

error	Betydning
invalid_grant	Kode udløbet, allerede brugt, eller redirect_uri / PKCE mismatch.
invalid_client	Forkert client_id / client_secret.
invalid_request	Malformet body eller manglende felt.

Autorisationskoder er som regel engangsbrug og kortlivede. Hvis brugeren dobbeltsender callback eller du prøver igen med samme kode, forvent invalid_grant.

React-SDK og ren JS (popup)

• Popup blokeret — SDK’en åbner et nyt vindue; browsere kan blokere det. Tillad popups for dit origin, eller brug et flow der ikke afhænger af window.open hvis dit produkt understøtter det.
• Stadig «logget ind» efter portal-log ud — tredjeparts-cookies eller IdP-session kan få getUsers() til at returnere en bruger indtil IdP log ud eller cookie-oprydning; se Sessioner, cookies og tokens.

Fejlfindingstjekliste

• Omdirigerings-URI matcher den registrerede værdi præcist (skema, vært, sti, ingen ekstra query).
• state matcher den værdi du gemte for dette forsøg.
• PKCE: samme code_verifier som producerede den sendte code_challenge.
• Ur-skævhed: servertid korrekt til JWT exp-validering.
• CORS: token-endepunktkald fra browseren fejler ofte med vilje — brug din backend.

Detaljer om det forventede forløb: Autorisationskodeflow.

Ofte stillede spørgsmål

Brugeren siger popup’en er tom

Tjek popup-blokkere, mixed content (http-side der åbner https-popup-problemer) og konsol-fejl. Sørg for at din side sender iframe-token-received tilbage til popup’en når det kræves — Ren HTML, CSS og JavaScript.

«Invalid grant» hver gang

Se token-fejl ovenfor — som regel dobbelt brug af koden eller redirect_uri-mismatch ved udveksling.

Vi vil kun logge ud af vores app, ikke Intastellar

Du kan rydde kun din session (trin 1). Vær opmærksom på at brugeren hurtigt kan vise sig logget ind igen ved næste Intastellar-omdirigering — det kan være det du vil, eller det modsatte.