Authentification OAuth
Objectif
Mettre en place une authentification conforme, sans stocker de secret dans une application distribuée.
Client public et PKCE
L'application mobile est un client public : elle ne peut pas garder un secret. L'autorisation utilise donc le code d'autorisation avec PKCE. Aucune application distribuée ne doit embarquer de secret client.
Point d'entrée
Les points de terminaison d'autorisation et de jeton sont publiés par le service d'identité de ModernSchools, sur auth.modernschools.online. Un client doit les découvrir plutôt que les coder en dur.
Cycle de vie du jeton
Un jeton d'accès est de courte durée. Un jeton de rafraîchissement permet de le renouveler sans redemander les identifiants. Un client hors ligne doit prévoir le cas d'un jeton expiré au retour du réseau, sans perdre le travail local en cours.
Ce qu'un client ne doit jamais faire
Stocker un mot de passe utilisateur, journaliser un jeton, transmettre un jeton à un tiers, ou tenter de rejouer un jeton révoqué.
Cette page vous a-t-elle aidé ?
Toujours bloqué ? Écrivez au support : support@modernschools.online