Authentification B2C pour les applications grand public
L'authentification B2C, c'est l'inscription et la connexion qu'un produit grand public propose à tous, là où chacun peut créer un compte et s'attend à entrer vite et en sécurité. Skycloak Platform est conçu pour cela, avec les passkeys, l'authentification multifacteur, la vérification des mots de passe compromis et des sessions longues pour les applications mobiles à son plan, et avec les données de vos utilisateurs conservées aux États-Unis ou dans l'Union européenne.
En quoi la connexion grand public diffère de celle des utilisateurs professionnels
Dans un produit professionnel, un administrateur crée en général les comptes ou relie le fournisseur d'identité de l'entreprise. Dans un produit grand public, les gens s'inscrivent eux-mêmes, souvent sur un téléphone, et beaucoup abandonnent si le formulaire est lent ou confus. Comme tout le monde peut s'inscrire, la même page d'inscription est aussi la cible de créations de comptes automatisées et d'attaquants qui essaient des mots de passe divulgués sur d'autres sites.
L'authentification B2C est donc un équilibre entre un parcours court pour les vraies personnes et des contrôles qui arrêtent les abus. Une bonne configuration demande peu à l'inscription, propose des méthodes de connexion qui ne reposent pas sur la mémoire d'un mot de passe et ajoute des contrôles plus forts là où il en faut. Elle doit aussi suivre la croissance du nombre d'utilisateurs, et sur la plateforme cette capacité relève de Skycloak plutôt que de votre équipe.
Passkeys, mots de passe compromis et MFA
Les passkeys permettent à un utilisateur de se connecter avec le lecteur d'empreintes, la reconnaissance faciale ou le verrouillage d'écran de son appareil au lieu d'un mot de passe. Une passkey est liée à votre adresse de connexion, donc un site d'imitation ne peut pas la capturer pour s'en servir plus tard, ce qui protège les utilisateurs contre l'hameçonnage, une façon courante de prendre le contrôle des comptes grand public. Les passkeys figurent au plan de la plateforme, à côté des mots de passe pour les utilisateurs qui les préfèrent encore.
Pour les mots de passe, le plan prévoit une vérification dans les données de Have I Been Pwned, qui signale les mots de passe apparus dans des fuites connues. Si ce service est injoignable, la connexion reste permise et le mot de passe est vérifié dans une copie locale, si bien qu'une panne extérieure ne bloque pas vos utilisateurs. L'authentification multifacteur figure aussi au plan, et comme la plateforme est encore en construction, une démo montre lesquelles de ces fonctionnalités sont livrées.
Sessions longues sur mobile et lieu de stockage des données
Les utilisateurs mobiles s'attendent à rester connectés pendant des jours ou des semaines sans retaper leur mot de passe. La plateforme gère cela avec un jeton de rafraîchissement hors ligne, demandé avec le scope offline_access, qui dure 7 jours par défaut et peut aller jusqu'à 30 jours par application. Le jeton change à chaque utilisation et la réutilisation d'un ancien jeton est détectée, et la déconnexion de cette application, un appel de révocation ou un administrateur peuvent y mettre fin à tout moment. Les sessions du navigateur restent séparées et se terminent avec la session d'authentification unique ou à la déconnexion.
Chaque tenant tourne aux États-Unis ou dans l'Union européenne, au choix à sa création, et chaque enregistrement reste dans cette région. Chacun de vos environnements est son propre tenant, donc les comptes de préproduction ne se mêlent jamais aux vrais clients. La connexion ne dépend pas non plus de la console de la plateforme, qui ne détient aucune donnée d'utilisateur final, si bien que vos utilisateurs peuvent continuer à se connecter même quand la console est indisponible.
Questions fréquentes
Nos utilisateurs gardent-ils leurs comptes si nous quittons Keycloak ?
Oui. La plateforme est conçue pour importer les utilisateurs d'un realm Keycloak avec leurs mots de passe, leurs réglages MFA et leurs passkeys, pour que personne n'ait à réinitialiser son mot de passe le jour du changement. Elle sert aussi des adresses et des formats de jetons compatibles avec Keycloak, donc vos applications continuent de fonctionner.
Combien de temps un utilisateur mobile reste-t-il connecté ?
Aussi longtemps que le jeton de rafraîchissement hors ligne de l'application est valable, une durée que vous réglez par application dans les limites décrites plus haut. Le jeton change à chaque utilisation, et la déconnexion de l'application, un appel de révocation ou un administrateur peuvent y mettre fin plus tôt.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.