<div dir="ltr">Thank you both. I ran SAML-Tracers to catch the output but knowing that the behavior I was seeing was not a known issue was a huge help. None of the other SP's links had this issue except this unsolicited SP. That is why I thought I had misconfigured something. To answer the question, our current setup uses mostly defaults. For our needs the out-of-the-box configurations work well for about 90%. It's been great.<div><br></div><div>So what I found was one of our web headers was the issue. In apache, we had set our Cache-Control directive. As a test, I removed it and it is working as expected. I will work on reducing that timeout.</div><div><br></div><div>Thanks again for your help. Hopefully this helps someone else who runs into a similar issue.<br clear="all"><div><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><br></div></div></div><br></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Mon, Nov 2, 2020 at 2:43 PM Ray Bon <<a href="mailto:rbon@uvic.ca">rbon@uvic.ca</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">



<div style="text-align:left;direction:ltr">
<div>Steve,</div>
<div><br>
</div>
<div>Could it be that the SP cookie is not being removed on logout?</div>
<div><br>
</div>
<div>Ray</div>
<div><br>
</div>
<div>On Mon, 2020-11-02 at 14:20 -0600, Steve Herrera via users wrote:</div>
<blockquote type="cite" style="margin:0px 0px 0px 0.8ex;border-left:2px solid rgb(114,159,207);padding-left:1ex">
<div style="font-size:8pt;color:rgb(245,132,66);font-family:sans-serif;font-style:normal;font-weight:bold;padding:0.2em">
Notice: This message was sent from outside the University of Victoria email system. Please be cautious with links and sensitive information.
</div>
<br>
<div>
<div dir="ltr">I requested an account with the SP and that just now has been created. It is giving me the same errors. Works fine on the initial login, then I logout and paste the exact url into my browser and get the same result of Stale Request. The parameters
 in the link are providerID and target.  I've tested this with both chrome and firefox with the same result thinking it was browser related.
<div><br>
</div>
<div> If I open in a private browser, I login fine, then logout. I open a new tab, close the original tab and paste the URL into the URL bar. Also gives me a Stale Request.<br clear="all">
<div>
<div dir="ltr">
<div dir="ltr">
<div>
<p><span style="font-family:Arial,sans-serif;color:rgb(31,73,125)"><font size="1">Steve Herrera<br>
</font></span><span style="font-family:Arial,sans-serif;color:rgb(31,73,125)"><font size="1">System Administration<br>
Information Security<br>
</font></span><span style="color:rgb(31,73,125);font-family:Arial,sans-serif;font-size:7.5pt">Bradley University<br>
</span><span style="color:rgb(31,73,125);font-family:Arial,sans-serif;font-size:7.5pt">Phone: 309 / 677-2336<br>
</span><span style="color:rgb(31,73,125);font-family:Arial,sans-serif;font-size:7.5pt">FAX: 309 / 677-3460<br>
</span><span style="font-size:7.5pt;font-family:Arial,sans-serif;color:rgb(31,73,125)">Email: 
</span><u><span style="font-size:7.5pt;font-family:Arial,sans-serif;color:blue"><a href="mailto:sherrera@fsmail.bradley.edu" target="_blank">sherrera@fsmail.bradley.edu</a></span></u></p>
</div>
</div>
</div>
</div>
<br>
</div>
</div>
<br>
<div class="gmail_quote">
<div dir="ltr" class="gmail_attr">On Mon, Nov 2, 2020 at 2:07 PM Cantor, Scott <<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>> wrote:<br>
</div>
<blockquote type="cite" style="margin:0px 0px 0px 0.8ex;border-left:2px solid rgb(114,159,207);padding-left:1ex">
>    My issue is when the user goes to the unsolicited URL to login, that works just fine. But when they log out of the SP and<br>
> immediately use the unsolicited URL again to try and log back in it gives the Stale Request error, similar to hitting the back<br>
> button.<br>
<br>
That's just not what it does, so they can't be hitting that URL again, they're accessing something else. With only providerId and/or shire as parameters, there's nothing in the link that would or could cause that error.<br>
<br>
-- Scott<br>
<br>
<br>
<br>
</blockquote>
</div>
</div>
</blockquote>
<div><span>
<pre>-- <br></pre>
<div>Ray Bon</div>
<div>Programmer Analyst</div>
<div>Development Services, University Systems</div>
<div>2507218831 | CLE 019 | <a href="mailto:rbon@uvic.ca" target="_blank">rbon@uvic.ca</a></div>
<div><br>
</div>
<div>I respectfully acknowledge that my place of work is located within the ancestral, traditional and unceded territory of the Songhees, Esquimalt and WSÁNEĆ Nations.</div>
</span></div>
</div>

</blockquote></div>