HonkIO Auth

Fonctionnement

HonkIO Auth est une page de connexion hébergée doublée d’un répertoire d’utilisateurs. Votre application envoie les gens vers la page de connexion, sur un nom d’hôte qui vous appartient, comme login.acme.ca. Ils se connectent avec un code ou un lien par courriel, un code par texto ou une clé d’accès : aucun mot de passe et aucune connexion sociale. HonkIO les renvoie ensuite à votre application, connectés.

La page de connexion est un fournisseur OpenID Connect standard : code d’autorisation avec PKCE, jetons d’identité, userinfo, JWKS, découverte et déconnexion initiée par l’application. Utilisez n’importe quelle bibliothèque OIDC; les guides de démarrage couvrent Next.js, Express, FastAPI, Django et Laravel.

HonkIO tient le répertoire complet de chaque application : utilisateurs, profils, sessions et historique de connexion, et avec le forfait Affaires, des organisations avec rôles et invitations. Gérez-le dans le tableau de bord ou par l’API de gestion, et recevez des webhooks quand il change. Le tout sur le même compte HonkIO et le même solde prépayé en dollars canadiens que vos textos et courriels.

Ce qu’il vous faut

Avant la première connexion, il vous faut :

• Un compte HonkIO et une clé d’API avec la permission auth_apps (clés d’API). Les clés existantes n’obtiennent pas les permissions de HonkIO Auth : créez une clé ou modifiez-en une.
• Un domaine que vous contrôlez, et l’accès à son DNS. Chaque application, y compris les applications de test, fonctionne sur son propre sous-domaine : il n’existe aucun domaine de connexion HonkIO partagé. Voir Configuration du domaine.
• L’adresse de la route de rappel de votre application, comme https://app.acme.ca/auth/callback, à inscrire comme URI de redirection.

Ensuite :

1. Créez une application avec POST /v1/auth-apps, ou dans la section Auth du tableau de bord. Conservez le secret client : il n’est affiché qu’une fois.
2. Publiez les enregistrements TXT et CNAME indiqués dans la réponse, puis vérifiez le domaine. HonkIO obtient le certificat HTTPS dès que les enregistrements sont validés.
3. Configurez votre bibliothèque OIDC avec l’émetteur de l’application (https:// suivi de votre nom d’hôte), l’identifiant client et le secret. Les guides de démarrage montrent la suite.

curl -X POST https://api.honkio.ca/v1/auth-apps \
  -H "Authorization: Bearer mk_test_YOUR_KEY" \
  -H "Content-Type: application/json" \
  -d '{
    "hostname": "login-dev.acme.ca",
    "name": "Acme",
    "redirect_uris": ["http://localhost:3000/auth/callback"],
    "post_logout_redirect_uris": ["http://localhost:3000/"]
  }'
# The response holds client_id, client_secret (shown once) and dns_records.

Applications de test et en direct

Les applications suivent la séparation test et direct de HonkIO : une clé d’API de test crée et gère des applications de test, une clé en direct des applications en direct. Les applications de test n’envoient rien de réel, ni courriel ni texto. Elles sont gratuites, illimitées en nombre, ont toutes les fonctions payantes et sont limitées à 100 utilisateurs.

Sur une application de test, le code fixe 000000 ne fonctionne que pour les identifiants de test réservés (voir Méthodes de connexion). Les adresses et numéros réels ne peuvent se connecter à une application de test qu’avec une clé d’accès. Les pages de connexion de test affichent une bannière Mode test impossible à masquer.

Une application de test a son propre nom d’hôte (par exemple login-dev.acme.ca), son émetteur et ses clés de signature : un jeton d’une application de test n’est jamais accepté par une application en direct. Les URI de redirection http://localhost ne sont permis que sur les applications de test.

Quitter HonkIO

Exportez en tout temps tous les utilisateurs, organisations et rôles d’une application dans un fichier (Exportation). Comme l’émetteur est votre propre nom d’hôte, vous pourrez plus tard faire fonctionner la connexion ailleurs sur ce même nom d’hôte. Les clés d’accès ne peuvent pas être exportées, par conception. Par défaut, elles sont liées à votre domaine entier : les utilisateurs peuvent les garder si votre prochain fournisseur gère la connexion sur ce domaine; sinon, ils les ajoutent de nouveau.