Add table header and offline_access note to Microsoft Entra guide

Author: TomNaessens

en/guides/general/microsoft-entra/index.md

@@ -29,7 +29,7 @@ If your institution explicitly allowed the previous application, that approval d
 
 ## The application registration
 
-| | |
+| Property | Value |
 | --- | --- |
 | Display name | `Dodona` |
 | Application (client) ID | `060c642b-473b-4423-a9f6-dfc67066deb6` |
@@ -60,6 +60,13 @@ Dodona never calls the Microsoft Graph API. The permissions above exist only so
 That is the complete list. There is no background service, and nothing with which Dodona could query your directory.
 :::
 
+::: info Why the consent screen mentions "Maintain access to data you have given it access to"
+
+Microsoft's consent screen shows this line for every application, including ones that never ask for it. It corresponds to the `offline_access` scope, and Microsoft [documents](https://learn.microsoft.com/en-us/entra/identity-platform/scopes-oidc#the-offline_access-scope) that it "currently appears on all consent pages, even for flows that don't provide a refresh token".
+
+Dodona does not request `offline_access`. Its sign-in requests ask for `openid`, `email` and `profile` only, which is exactly what you see on the application's `API permissions` page. Microsoft only issues a refresh token to an application that explicitly requests that scope, so Dodona never receives one.
+:::
+
 Concretely, this means that:
 
 - Dodona never receives, stores or asks for the user's Microsoft password. Authentication happens entirely on Microsoft's own sign-in pages.

nl/guides/general/microsoft-entra/index.md

@@ -29,7 +29,7 @@ Als je instelling de vorige applicatie expliciet toeliet, geldt die goedkeuring
 
 ## De app-registratie
 
-| | |
+| Eigenschap | Waarde |
 | --- | --- |
 | Weergavenaam | `Dodona` |
 | Toepassings-ID (client) | `060c642b-473b-4423-a9f6-dfc67066deb6` |
@@ -60,6 +60,13 @@ Dodona roept de Microsoft Graph API nooit aan. De machtigingen hierboven dienen
 Dat is de volledige lijst. Er is geen achtergrondproces, en niets waarmee Dodona je directory zou kunnen bevragen.
 :::
 
+::: info Waarom het toestemmingsscherm "Maintain access to data you have given it access to" vermeldt
+
+Het toestemmingsscherm van Microsoft toont deze regel bij elke applicatie, ook bij applicaties die er nooit om vragen. Ze komt overeen met de `offline_access`-scope. Microsoft [documenteert](https://learn.microsoft.com/en-us/entra/identity-platform/scopes-oidc#the-offline_access-scope) zelf, in het Engels, dat die "currently appears on all consent pages, even for flows that don't provide a refresh token".
+
+Dodona vraagt geen `offline_access`. De aanmeldaanvragen van Dodona vragen enkel `openid`, `email` en `profile`, precies wat je ziet op de `API permissions`-pagina van de applicatie. Microsoft geeft enkel een refresh token aan een applicatie die die scope expliciet aanvraagt, waardoor Dodona er nooit een ontvangt.
+:::
+
 Concreet betekent dat:
 
 - Dodona ontvangt, bewaart of vraagt nooit het Microsoft-wachtwoord van de gebruiker. Het aanmelden gebeurt volledig op de aanmeldpagina's van Microsoft zelf.