Méthodes de connexion

Code ou lien par courriel

Sur tous les forfaits, et activé par défaut. L’utilisateur saisit son adresse courriel et reçoit un code à 6 chiffres et un lien en un geste. Les codes ne servent qu’une fois, expirent après 10 minutes, sont conservés hachés et ne sont jamais journalisés.

Le lien ouvre un bouton de confirmation, et seul ce clic connecte : les filtres de courriel qui ouvrent les liens à l’avance ne peuvent pas les épuiser. Un code ou un lien ne termine la connexion que dans le navigateur qui l’a demandé; ouvert sur un autre appareil, le lien affiche le code à saisir dans le navigateur d’origine.

Chaque visiteur voit la même étape « consultez vos courriels », qu’il ait un compte ou non et qu’il puisse s’inscrire ou non; s’il ne le peut pas, rien n’est envoyé. Après 10 codes erronés en une heure, cette adresse ne peut plus faire vérifier de code pendant une heure, durée qui double à chaque récidive. Les liens fonctionnent toujours pendant un blocage : un utilisateur bloqué a toujours un moyen d’entrer.

L’adresse d’envoi

Par défaut, les courriels de connexion viennent de signin.honkio.ca, le sous-domaine de HonkIO réservé aux courriels de connexion, avec le nom de votre application comme nom d’expéditeur. Ils sont envoyés par AWS, à Montréal.

Si votre compte a un domaine d’envoi de courriel vérifié, vous pouvez plutôt envoyer les courriels de connexion depuis celui-ci : choisissez-le sous Méthodes dans le tableau de bord, ou définissez send_from_email_domain_id. Vous gérez déjà le DNS de l’application : c’est une petite étape, et les destinataires voient votre propre domaine.

Codes par texto

Pro et Affaires. Le champ devient « Courriel ou numéro de mobile », et les utilisateurs peuvent recevoir un code à 6 chiffres par texto. Les textos viennent de votre propre numéro HonkIO, jamais d’un numéro partagé, et nomment votre application.

La connexion par texto n’accepte que les numéros de mobile canadiens; les autres numéros sont refusés avec la même formulation que tout le reste. Toutes les protections de /v1/verify s’appliquent, en plus d’une limite quotidienne de dépenses en textos (voir Protection contre les abus). Une réponse STOP suit le traitement des désabonnements de votre numéro. Chaque texto coûte le tarif SMS normal de HonkIO, sans frais de vérification.

Obtenir un numéro pour les textos

1. Achetez un numéro HonkIO (Numéros de téléphone). Un numéro sans frais exige d’abord la vérification sans frais.
2. Faites vérifier le numéro mobile de votre compte si ce n’est pas déjà fait : l’achat d’un numéro réel et chaque envoi réel l’exigent. Seul un numéro sans frais exige aussi une entreprise vérifiée, pour sa vérification sans frais.
3. Définissez le numéro comme sms_from_number_id de l’application et activez texts_enabled. Le tableau de bord vous guide dans ces étapes quand vous activez les textos. Une application de test n’a besoin de rien de tout cela : elle n’envoie aucun texto et peut donc activer texts_enabled sans numéro.

Clés d’accès

Sur tous les forfaits, et activé par défaut. Les utilisateurs se connectent avec Face ID, Touch ID, Windows Hello, Android ou une clé de sécurité, par le bouton « Se connecter avec une clé d’accès » ou le remplissage automatique du navigateur. La vérification de l’utilisateur (biométrie ou NIP) est toujours exigée, et une connexion par clé d’accès compte pour les deux étapes de la vérification en deux étapes.

Après une connexion par code, la page propose d’enregistrer une clé d’accès. Cette invitation ne peut pas être désactivée : les clés d’accès sont la meilleure défense contre la prise de contrôle de comptes. Ajouter une clé d’accès exige une connexion dans les 10 dernières minutes.

Par défaut, une clé d’accès est liée à votre domaine entier (acme.ca) : les utilisateurs la gardent si vous faites plus tard fonctionner la connexion ailleurs sur ce domaine; en contrepartie, vos autres sous-domaines pourraient la demander. Réglez passkey_scope sur hostname pour lier les clés d’accès au seul nom d’hôte de connexion. Les identifiants sont conservés par application : une clé d’accès d’une application ne connecte jamais à une autre.

Un numéro de téléphone exige une méthode de secours

Les fournisseurs recyclent les numéros de téléphone : un compte lié seulement à un téléphone n’est pas permis. Un utilisateur qui s’inscrit avec un numéro doit ajouter une clé d’accès ou un courriel avant la fin de l’inscription. Si un compte n’a pas servi depuis 6 mois ou plus, un code par texto ne suffit plus : l’utilisateur confirme aussi par courriel ou par clé d’accès.

La page hébergée

Vous choisissez le logo, la couleur de marque, le nom de l’application et les méthodes activées, rien d’autre : impossible d’ajouter du HTML, du CSS ou du JavaScript. Au moins une méthode reste activée. Les logos sont réencodés en PNG ou en WebP (le SVG n’est pas accepté) et servis depuis une origine distincte réservée aux fichiers statiques. Les noms d’application sont validés comme le app_name de /v1/verify, et les noms proches d’une marque protégée sont examinés ou refusés avec AUTH_APP_NAME_PROTECTED.

La page est offerte en anglais et en français : elle suit la langue du navigateur, accepte ui_locales et a un bouton EN/FR. Son pied de page affiche toujours « Sécurisé par HonkIO », sur tous les forfaits, avec un lien vers une courte page sur l’endroit où les données sont conservées et traitées.

Identifiants de test

Les applications de test n’envoient rien. Connectez-vous à l’une d’elles avec le code 000000 et un identifiant de test réservé :

• toute adresse à test.honkio.ca ou à l’un de ses sous-domaines, comme ada@test.honkio.ca ou ada@acme.test.honkio.ca;
• un numéro de la plage fictive 555-0100 à 555-0199, comme +1 416 555 0123.

Les adresses et numéros réels ne peuvent se connecter à une application de test qu’avec une clé d’accès : si la production pointe par erreur vers une application de test, personne ne peut entrer à la place de quelqu’un d’autre.