OpenID Connect (OIDC) ist eine Identitätsschicht oberhalb von OAuth 2.0. Während OAuth 2.0 die Frage ‚fWas darf eine Anwendung im Namen des Nutzers tun?" beantwortet, beantwortet OIDC die Frage "Wer ist der Nutzer?". Der Authorization Server stellt zusätzlich zu Access Tokens ein ID Token (ein signiertes JSON Web Token, JWT) aus, das Identitätsinformationen über den Nutzer enthält — Subject Identifier, Issuer, Audience, Authentifizierungsmethoden, Authentifizierungszeitpunkt sowie standardisierte Claims wie name, email, picture, locale.
Eingesetzt wird OIDC als Standard für föderierte Authentifizierung in Webanwendungen, mobilen Apps, SPAs und API-Backends. Bekannte Identity Provider sind Microsoft Entra ID, Google, Apple, Auth0, Okta, Keycloak (Open Source), Ping Identity, ForgeRock und IdentityServer. OIDC-Discovery (über das wohlbekannte Endpunkt /.well-known/openid-configuration) und JSON Web Key Sets (JWKS) erlauben eine automatisierte Konfiguration und Schlüsselrotation. Erweiterungen wie OIDC Session Management, Front-Channel Logout, Back-Channel Logout, Pushed Authorization Request und Logout-Token gehören zum erweiterten Funktionsumfang.
Vor OIDC kombinierten Anwendungen häufig OAuth 2.0 mit individuellen Profilendpunkten, um Identitätsinformationen zu erhalten — was zu inkompatiblen Implementierungen führte. OIDC schreibt ID Token, Userinfo-Endpunkt und ein klar definiertes Claim-Set vor und löst damit das Problem, dass OAuth 2.0 strenggenommen kein Authentifizierungsstandard ist, in der Praxis aber häufig dafür verwendet wird.
OpenID Connect wurde von der OpenID Foundation entwickelt und im Februar 2014 in Version 1.0 veröffentlicht. Es ersetzte das ältere OpenID 2.0, das auf XML-basierter Discovery aufbaute und sich gegenüber OAuth 2.0 in der Praxis nicht durchgesetzt hatte. Wichtige Mitautoren waren Nat Sakimura, John Bradley, Mike Jones und Breno de Medeiros. Mit OIDC FAPI (Financial-grade API) entstand eine sicherheitsverschärfte Variante für Open-Banking-Szenarien, die unter anderem in der UK Open-Banking-Regulierung und in PSD2-Kontexten eingesetzt wird.
Vor OIDC existierten mehrere konkurrierende Identitätsprotokolle — SAML, OpenID 2.0, Shibboleth, WS-Federation und Facebook Connect. OIDC hat innerhalb weniger Jahre den Markt für Web- und Mobile-Authentifizierung weitgehend konsolidiert, während SAML in Enterprise- und Behörden-SSOs dominant geblieben ist. Diese "Aufgabenteilung" — OIDC für moderne Web- und Mobile-Apps, SAML für klassische Enterprise-SSOs — gilt heute als praxis-erprobt, wenngleich sie für Plattformen, die beides bedienen müssen, eine zusätzliche Komplexitätsschicht bedeutet.