Flux Authorization Code

1. Générer les valeurs de transaction

Pour chaque tentative de connexion, générez :

• une valeur state à forte entropie afin de lier la requête au callback
• une valeur nonce afin de lier les informations d’identité à la requête
• un code_verifier
• PKCE à forte entropie et une code_challenge, calculée à partir du condensat SHA-256 du verifier encodé en base64url

Conservez ces valeurs dans une transaction de courte durée, protégée côté serveur.

2. Rediriger vers l’autorisation

3. Valider le callback

Un callback réussi contient code et state. Comparez state à la valeur enregistrée, si possible avec une fonction de comparaison en temps constant. Rejetez toute transaction absente, réutilisée, expirée ou non concordante.

Un callback en échec contient error et peut contenir error_description. Ne consignez qu’un identifiant de corrélation interne sûr et affichez à l’utilisateur un message clair lui permettant de réessayer.

4. Échanger le code

Envoyez une requête de formulaire de serveur à serveur :

Les identifiants du client peuvent également être acceptés dans le corps du formulaire si cette option est configurée, mais HTTP Basic les sépare des paramètres du grant.

5. Lire les informations utilisateur

Utilisez la réponse pour créer une session locale sur le site, puis supprimez la transaction OAuth à usage unique.

Renouveler et révoquer

Échangez un refresh token valide avec grant_type=refresh_token sur /oauth2/token. Conservez les refresh tokens uniquement sur le serveur. Lorsque l’intégration n’a plus besoin d’un token, révoquez-le sur /oauth2/revoke et invalidez la session locale.