Site personalizado

Utilize uma integração personalizada se a sua plataforma não for Drupal nem WordPress, ou se precisar de controlo direto sobre sessões, routing e comportamento baseado no perfil.

• Um backend capaz de manter as credenciais e os tokens em segredo
• Callback Routes HTTPS
• Um mecanismo de sessão server-side
• Um cliente DocID^® para cada ambiente

Normalmente, a sua aplicação necessita de:

1. uma Login Route que gera state, nonce e os valores PKCE antes de redirecionar para o DocID^®
2. uma Callback Route que valida a response, troca o código, lê os claims autorizados e cria uma sessão local

Guarde os dados temporários de autorização num cookie assinado, HTTP-only, Secure e SameSite, ou num transaction store server-side.

Redirecione o browser para /oauth2/authorize com:

No servidor:

1. rejeite callbacks com state em falta ou diferente.
2. trate uma response OAuth error sem expor detalhes técnicos ao utilizador.
3. troque o Authorization Code em /oauth2/token.
4. envie o code_verifier original.
5. solicite /oauth2/userinfo com o Access Token.
6. associe sub à conta ou sessão local.
7. remova os dados temporários da transação OAuth.

Ver o flow OAuth 2.0 completo