He identificado lo mismo:
- Dos aplicaciones (Discourse y otra, llamémosla X) conectadas a Keycloak mediante SAML.
- Cerrar sesión en Discourse. El usuario también queda desconectado en X y no puede hacer nada allí.
- Cerrar sesión en X. La sesión en Keycloak desaparece, pero el usuario sigue conectado en Discourse.
Incluso una recarga de página en el navegador en Discourse no valida que la autenticación SAML haya desaparecido (= que el usuario haya cerrado sesión).
Esperaría que el usuario también se desconectara en Discourse.
¿Verifica Discourse la autenticación SAML en Keycloak?
¿Cuándo lo hace?