Flux d'autorisation

Le parcours authorization code pas à pas, et ce que l'interface A3BC change au standard.

1. Votre service crée une transaction : il génère state et nonce et redirige l’utilisateur vers l’endpoint authorization.
2. A3BC déclenche l’authentification et le recueil du consentement hors bande, dans l’app TrustMe (par identifiant ou QR code).
3. A3BC redirige l’utilisateur vers votre redirect_uri avec un code à usage unique et le state.
4. Votre serveur échange le code sur le endpoint token et reçoit un access_token et un id_token.
5. Vous vérifiez l’id_token, lisez les claims, et appelez au besoin l’API document avec l’access_token.

Particularités A3BC

• Le paramètre standard claims n’est pas supporté tel quel ; une variante mandatory est proposée (voir Claims obligatoires).
• Les claims demandés via les scopes sont fournis s’ils sont disponibles. S’ils manquent, l’opération réussit quand même : aucune erreur n’est générée.
• Une seule valeur acr_values est acceptée, et elle est imposée (voir ACR).
• Le résultat n’est récupérable que 30 minutes.
• Une transaction n’échoue que si l’utilisateur ne s’authentifie pas, ne consent pas, ne peut pas satisfaire l’ACR, ou en cas d’incident technique.

Choisir sa bibliothèque

Une bibliothèque OIDC certifiée gère discovery, construction de l’URL, échange du code et validation de l’id_token. Avec une bibliothèque OAuth 2.0, vous configurez les endpoints manuellement et validez le JWT avec une bibliothèque dédiée. Quel que soit le choix, il faut : l’URL d’émetteur (ou les endpoints), la redirect_uri, les identifiants, les scopes, éventuellement acr_values et claims.