Login hospedado

O que a página oferece

A página mostra um botão para cada provedor de identidade que você configurou, uma aba de senha e uma aba de código por email. O login com senha vem ativado por padrão. O código de seis dígitos enviado por email fica desativado até você ativar customerOtpEnabled nas configurações do projeto. (A documentação chama seus usuários de “customers”.)

Cada aplicação que você registra para login (uma “relying party” na documentação) pode ocultar um método ou um provedor para si mesma. Ela pode restringir o que o projeto permite e nunca ampliar.

Seu domínio e sua marca

A página é servida de auth.foir.io até você listar um domínio de login no app de login e verificá-lo com dois registros DNS. O nome, o logo e a cor primária pertencem ao projeto, então todo app em um projeto compartilha a mesma aparência. Uma organização pode substituí-los, e a página acompanha.

Novas contas e redefinições de senha

Na página hospedada, uma pessoa nova obtém uma conta informando um código enviado a um endereço que ninguém usou, ou por um primeiro login por meio de um provedor. Registrar-se com senha é a mutation customerRegister e redefinir uma é um par de mutations, todas chamadas a partir da sua própria interface.

Uma configuração do projeto decide quem pode se cadastrar: qualquer pessoa, apenas pessoas convidadas, uma lista de espera ou ninguém. Os usuários existentes sempre podem fazer login.

Tokens e sessões

Um login é um fluxo de código de autorização OAuth 2.1 com PKCE. Ele retorna um access token de 15 minutos e um refresh token de 30 dias que rotaciona a cada uso. Reutilizar um token que já foi rotacionado revoga toda a família.

Em um domínio de login verificado que compartilha um domínio registrável com o seu app, o Fóir define um cookie de sessão que o seu app troca por access tokens, então nenhum token fica armazenado no navegador. Essa sessão termina após 30 dias de inatividade ou 90 dias após o primeiro login, e ambos podem ser definidos por projeto.