La connexion sans mot de passe sur votre propre domaine, avec des données stockées au Canada

Votre application envoie les gens vers la page de connexion, sur un nom d’hôte qui vous appartient, comme login.acme.ca. Ils se connectent, et HonkIO les renvoie à votre application avec des jetons OpenID Connect standard.

Code d’autorisation avec PKCE, jetons d’identité, userinfo, JWKS, découverte et déconnexion : toute bibliothèque OIDC fonctionne. Les guides de démarrage couvrent Next.js, Express, FastAPI, Django et Laravel.

HonkIO tient le répertoire d’utilisateurs de chaque application : profils, sessions et historique de connexion, et sur Business, des organisations avec rôles et invitations. Gérez-le dans le tableau de bord ou par l’API de gestion, et recevez des webhooks quand il change.

• Démarrage avec Next.js
• Démarrage avec Express
• Démarrage avec FastAPI et Django
• Démarrage avec Laravel

• Code ou lien en un geste par courriel, sur tous les forfaits. Les codes ne servent qu’une fois, expirent après 10 minutes et ne sont conservés que sous forme hachée.
• Codes par texto, sur Pro et Business. Envoyés aux numéros mobiles canadiens depuis votre propre numéro HonkIO, au tarif SMS habituel.
• Clés d’accès, sur tous les forfaits : Face ID, Touch ID, Windows Hello, Android ou une clé de sécurité. Après une connexion par code, la page propose d’en enregistrer une.
• La page hébergée est en français et en anglais, avec votre logo, la couleur de votre marque et le nom de votre application.

• Chaque application, y compris les applications de test, fonctionne sur un sous-domaine qui vous appartient. Vous publiez un enregistrement TXT et un CNAME, et HonkIO obtient le certificat HTTPS.
• L’émetteur est votre propre nom d’hôte : vous pourrez plus tard faire fonctionner la connexion ailleurs sur ce même nom d’hôte.
• Exportez en tout temps tous les utilisateurs, organisations et rôles d’une application dans un fichier.
• Les clés d’accès sont liées à votre domaine par défaut : les utilisateurs peuvent les garder si un prochain fournisseur gère la connexion sur ce domaine.

• Une vérification invisible par preuve de travail à chaque connexion et inscription, exécutée par HonkIO. Aucun CAPTCHA tiers, et aucune donnée de visiteur transmise à un tiers.
• Les fournisseurs de courriel jetable bloqués par défaut, et des listes de blocage par application pour les adresses, domaines, numéros, plages IP et pays.
• Une limite quotidienne de dépenses en textos par application, 5,00 $ par défaut, et des textos suspendus quand ils ressemblent à du pompage de SMS.
• Le mode attaque quand les inscriptions ou les codes s’emballent : chaque visiteur reçoit un défi et la connexion par texto est suspendue jusqu’au retour à la normale.
• Des alertes de nouvel appareil avec un lien qui met fin à toutes les sessions si la connexion ne venait pas de l’utilisateur.
• Les utilisateurs signalés comme robots probables ne comptent pas dans votre forfait.

• La vérification en deux étapes sur Pro et Business : une clé d’accès, ou un code sur le canal que l’utilisateur n’a pas utilisé pour se connecter. Exigez-la pour une application et, sur Business, pour une organisation ou un rôle.
• Les organisations sur Business : des membres avec un rôle chacun, des invitations, et l’organisation choisie à la connexion transmise dans les jetons.

Les données de vos utilisateurs sont stockées au Canada : la base de données et le cache se trouvent à Montréal, et les courriels de connexion sont envoyés par AWS, à Montréal (ca-central-1).

Les requêtes sont traitées sur une infrastructure hébergée aux États-Unis (Railway, Est des États-Unis), et Cloudflare gère les connexions à votre nom d’hôte de connexion à titre de sous-traitant. Nous disons donc que les données sont stockées au Canada, et non qu’elles ne quittent jamais le Canada.

Les données d’abus, comme les adresses IP, les témoins d’appareil et les cotes de risque, sont gardées 90 jours, puis supprimées ou réduites à des totaux.

Un utilisateur ne compte dans un mois que s’il se connecte un autre jour que celui de son inscription, et les robots probables ne comptent jamais. Les courriels et textos de connexion coûtent les tarifs de messages habituels, sans les frais de vérification. Un problème de facturation ne bloque jamais les utilisateurs existants : ils continuent de se connecter par courriel et par clé d’accès.

Ai-je besoin de mon propre domaine ?

Oui. Chaque application fonctionne sur un sous-domaine qui vous appartient, comme login.acme.ca; il n’existe aucun domaine de connexion HonkIO partagé. Vous ajoutez un enregistrement TXT et un CNAME, et HonkIO obtient le certificat. Les domaines racines ne sont pas acceptés.

Quelles bibliothèques et quels cadriciels fonctionnent avec ?

Toute bibliothèque OpenID Connect qui prend en charge le flux par code d’autorisation avec PKCE, comme openid-client, Auth.js, Authlib ou Socialite. La documentation a des guides de démarrage pour Next.js, Express, FastAPI, Django et Laravel.

Prend-il en charge les mots de passe ou la connexion sociale ?

Non. On se connecte avec un code ou un lien par courriel, un code par texto ou une clé d’accès.

Qu’arrive-t-il aux utilisateurs connectés si HonkIO est injoignable ?

Votre application garde une session quand un renouvellement de jeton ne peut pas joindre HonkIO, jusqu’à 24 heures après l’expiration du jeton d’accès, et y met fin aussitôt si le renouvellement est refusé. Les guides de démarrage appliquent cette règle.

Puis-je passer à un autre fournisseur plus tard ?

Oui. Exportez en tout temps chaque utilisateur, organisation et rôle, et comme l’émetteur est votre propre nom d’hôte, vous pouvez faire fonctionner la connexion ailleurs sur ce nom d’hôte. Les clés d’accès ne peuvent pas être exportées, par conception; les utilisateurs les gardent si votre prochain fournisseur gère la connexion sur le même domaine.

Où les données de mes utilisateurs sont-elles stockées ?

Au Canada, à Montréal. Les requêtes sont traitées sur une infrastructure hébergée aux États-Unis, et Cloudflare gère les connexions à votre nom d’hôte de connexion à titre de sous-traitant.

Y a-t-il un forfait gratuit ?

Oui. Le forfait Gratuit couvre 250 utilisateurs par mois sur une application en production, avec les codes et liens par courriel, les clés d’accès, les webhooks et toutes les protections contre les abus. Les applications de test sont gratuites sur tous les comptes.

• Comparaisons de HonkIO Auth

  HonkIO Auth comparé à Auth0, Clerk, Amazon Cognito, Firebase Authentication et Stytch : emplacement des données, forfaits et méthodes de connexion.

• HonkIO Auth face à Auth0

  HonkIO Auth et Auth0 côte à côte : régions de données au Canada, forfaits, domaines personnalisés, clés d'accès, MFA et organisations.

• HonkIO Auth face à Clerk

  HonkIO Auth et Clerk côte à côte : conservation des données, forfaits gratuits et payants, clés d'accès, textos et organisations.

• Verify

  Des codes à usage unique par texto, pour confirmer qu’un numéro de téléphone canadien appartient bien à votre utilisateur.

• API SMS

  Envoyez et recevez des SMS avec des numéros canadiens locaux et sans frais, avec le consentement LCAP et les réponses STOP appliqués par l’API.