Identity Forwarding

Mit JWT Identity Forwarding gibt meinGPT einen signierten JWT-Token an Dritt-Systeme weiter, damit diese den Nutzerkontext sicher auswerten können.

Dieses Muster wird aktuell in zwei Bereichen genutzt:

• Custom AI Apps (iframe)
• Custom MCP Server (Header-Weitergabe)

Wie das funktioniert

1. meinGPT erstellt einen signierten JWT mit User- und Org-Claims
2. Der Token wird an das Zielsystem übergeben
3. Das Zielsystem verifiziert die Signatur über den JWKS-Endpunkt
4. Danach kann es Berechtigungen/Scopes auf Basis der Claims anwenden

Transport-Varianten

• Custom AI Apps: Token im URL-Hash (#token=...)
• Custom MCP Server: Token im Header X-meinGPT-JWT

Claims (Auszug)

• sub
• email
• username
• aud
• organizationName
• role
• teams

Verifikation

Der öffentliche Schlüssel wird über JWKS pro Organisation bereitgestellt:

https://app.meingpt.com/api/custom-apps/v1/jwks/{organizationId}

Weiterführend

• Security & Authentication Proxy
• Custom MCP Server