Connexion hébergée

Ce que propose la page

La page affiche un bouton pour chaque fournisseur d'identité que vous avez configuré, un onglet mot de passe et un onglet code par e-mail. La connexion par mot de passe est activée par défaut. Le code à six chiffres envoyé par e-mail reste désactivé tant que vous n'activez pas customerOtpEnabled dans les paramètres du projet. (La documentation appelle vos utilisateurs « customers ».)

Chaque application que vous enregistrez pour la connexion (une « relying party » dans la documentation) peut masquer une méthode ou un fournisseur pour elle-même. Elle peut restreindre ce que le projet autorise et ne l'élargit jamais.

Votre domaine et votre identité de marque

La page est servie depuis auth.foir.io jusqu'à ce que vous listiez un domaine de connexion sur l'app de connexion et le vérifiiez avec deux enregistrements DNS. Le nom, le logo et la couleur principale appartiennent au projet, de sorte que toutes les apps d'un projet partagent un même aspect. Une organisation peut les remplacer, et la page suit.

Nouveaux comptes et réinitialisations de mot de passe

Sur la page hébergée, une nouvelle personne obtient un compte en saisissant un code envoyé à une adresse que personne n'a utilisée, ou par une première connexion via un fournisseur. S'inscrire avec un mot de passe passe par la mutation customerRegister et le réinitialiser par une paire de mutations, toutes appelées depuis votre propre interface.

Un paramètre de projet décide qui peut s'inscrire : n'importe qui, les personnes invitées seulement, une liste d'attente, ou personne. Les utilisateurs existants peuvent toujours se connecter.

Jetons et sessions

Une connexion est un flux de code d'autorisation OAuth 2.1 avec PKCE. Elle renvoie un jeton d'accès de 15 minutes et un jeton de rafraîchissement de 30 jours qui tourne à chaque utilisation. Rejouer un jeton déjà renouvelé révoque toute la famille.

Sur un domaine de connexion vérifié qui partage un domaine enregistrable avec votre app, Fóir pose un cookie de session que votre app échange contre des jetons d'accès, de sorte qu'aucun jeton n'est stocké dans le navigateur. Cette session prend fin après 30 jours d'inactivité ou 90 jours depuis la première connexion, et les deux peuvent être réglés par projet.