HTTP Set-Login Header

Der HTTP-Header Set-Login ist ein Response-Header, der dem Browser mitteilt, dass ein Benutzer sich erfolgreich bei einem Federated Identity Provider angemeldet hat. Er ist Teil der Federated Credential Management API für privacy-preserving Cross-Site Authentication.

Typ

Response-Header

Syntax

Der Header signalisiert erfolgreichen Login beim Identity Provider.

http 
Set-Login: logged-in
Set-Login: logged-out

Direktiven

Die Direktiven definieren den Login-Status beim Federated Identity Provider.

logged-in
Benutzer hat sich erfolgreich beim Identity Provider authentifiziert, Browser kann diesen Status für FedCM verwenden.
logged-out
Benutzer hat sich vom Identity Provider abgemeldet, Browser löscht FedCM-Status.

Beispiele

Nachfolgend finden Sie praktische Anwendungsbeispiele für den Set-Login-Header.

Beispiel 1 Erfolgreicher IDP Login

http 
POST /auth/login HTTP/1.1
Host: idp.example.com
Content-Type: application/x-www-form-urlencoded

username=alice&password=secret

HTTP/1.1 302 Found
Location: /dashboard
Set-Login: logged-in
Set-Cookie: session=abc123; Secure; HttpOnly

Identity Provider signalisiert Browser erfolgreichen Login für FedCM API-Nutzung durch Relying Parties.

Beispiel 2 IDP Logout

http 
POST /auth/logout HTTP/1.1
Host: idp.example.com
Cookie: session=abc123

HTTP/1.1 302 Found
Location: /
Set-Login: logged-out
Set-Cookie: session=; Max-Age=0

Identity Provider meldet Benutzer ab und informiert Browser, FedCM-Login-Status zu entfernen.

Beispiel 3 Relying Party nutzt FedCM

http 
GET /api/login/federated HTTP/1.1
Host: app.example.com

HTTP/1.1 200 OK
Content-Type: application/json

{
  "provider": "idp.example.com",
  "status": "logged-in"
}

Relying Party prüft FedCM-Status, Browser liefert Login-Information basierend auf Set-Login Header vom IDP.

Vorteile für die Systemarchitektur

  • Privacy-Preserving: FedCM vermeidet Third-Party Cookies für Federated Login ohne User-Tracking
  • Browser-Integration: Native Browser-APIs statt Custom-OAuth-Flows verbessern UX und Security
  • Cross-Site Login Detection: Browser erkennt IDP-Login-Status ohne Cookie-Sharing zwischen Sites

Spezifikation

Federated Credential Management API, WICG Proposal https://fedidcg.github.io/FedCM/

Weitere Spezifikationen

Set-Cookie Header, Authorization Header