Une page de connexion hébergée plutôt que des formulaires dans votre application
Une page de connexion hébergée est une page de connexion servie par votre fournisseur d'identité : votre application y envoie les utilisateurs et les récupère connectés. Elle vaut mieux que des formulaires intégrés à votre application, car les correctifs de sécurité, les passkeys, l'authentification multifacteur et le SSO se trouvent en un seul endroit qui évolue sans attendre une version de votre part. Skycloak Platform est conçu pour servir cette page pour chacun de vos tenants, sur sa propre adresse de connexion ou sur votre domaine.
Comment fonctionne une page de connexion hébergée
Quand un utilisateur clique sur se connecter, votre application redirige le navigateur vers la page de connexion hébergée avec une requête OpenID Connect qui indique quelle application demande et où renvoyer l'utilisateur. L'utilisateur se connecte sur cette page, puis le navigateur revient vers votre application avec un code d'autorisation, que votre backend échange contre des jetons. OAuth 2.1 impose PKCE (proof key for code exchange) sur ce flux, ce qui lie le code à la requête qui l'a lancé et rend inutilisable un code intercepté. Votre application ne voit jamais le mot de passe et n'a qu'à vérifier les jetons qu'elle reçoit.
Chaque environnement de votre produit, comme la production, la préproduction et le développement, est un tenant de la plateforme avec ses propres utilisateurs, ses réglages et son adresse de connexion sur skycloakid.com. Les domaines personnalisés figurent au plan, si bien que vous pouvez placer la page sur une adresse à vous et que vos utilisateurs se connectent sur un nom qu'ils reconnaissent. Les messages de connexion d'un tenant, comme les réinitialisations de mot de passe, partent de son propre sous-domaine, ce qui les sépare de ceux qu'envoient vos autres tenants.
Pourquoi une page hébergée vaut mieux que des formulaires dans votre application
Un formulaire de connexion paraît simple, mais il repose sur le stockage des mots de passe, la limitation des tentatives, la récupération de compte, l'enrôlement MFA et la protection contre le credential stuffing, c'est-à-dire des attaquants qui essaient des mots de passe divulgués par d'autres sites. Si ce code vit dans votre application, chaque correctif attend votre prochaine version, et sur mobile il attend aussi que les utilisateurs mettent l'application à jour. Avec une page de connexion hébergée, un correctif de sécurité du parcours de connexion atteint chaque utilisateur à sa prochaine connexion, sans changement de votre côté.
Il en va de même pour les nouvelles méthodes de connexion. Quand les passkeys ou une nouvelle option MFA arrivent sur la page, toutes les applications qui y redirigent peuvent les proposer, au lieu que vos applications web, mobiles et de bureau développent chacune la fonctionnalité. Vos utilisateurs retrouvent aussi la même connexion dans tous vos produits, et comme la page garde une session d'authentification unique, se connecter à l'une de vos applications les connecte aux autres.
Un seul endroit pour les passkeys, la MFA et le SSO d'entreprise
Les passkeys, l'authentification multifacteur et une vérification des mots de passe compromis dans les données Have I Been Pwned figurent au plan de la plateforme pour la page de connexion hébergée. Si ce service est injoignable, la connexion a tout de même lieu et le mot de passe est vérifié dans une copie locale des données, si bien qu'une panne extérieure ne bloque pas vos utilisateurs. Comme tout cela se passe sur une seule page, vous configurez une méthode de connexion une fois par tenant plutôt qu'une fois dans chaque application.
Le SSO d'entreprise en SAML est également prévu : quand l'un de vos clients professionnels veut que son personnel se connecte via son propre fournisseur d'identité, la page hébergée y envoie ces utilisateurs et le code de votre application ne change pas. Les organisations et les rôles par organisation séparent les utilisateurs et les droits de chacun de vos clients professionnels. Une démo vous montre la page elle-même et les méthodes que vous pouvez y utiliser aujourd'hui.
Questions fréquentes
La page de connexion hébergée peut-elle utiliser mon propre domaine ?
Les domaines personnalisés figurent au plan de la plateforme. Chaque tenant démarre avec une adresse de connexion sur skycloakid.com, et vous pouvez y ajouter un domaine à vous pour que les utilisateurs se connectent sur une adresse qu'ils reconnaissent.
Mon application voit-elle un jour le mot de passe de l'utilisateur ?
Non. L'utilisateur saisit son mot de passe, ou utilise une passkey, sur la page de connexion hébergée, et votre application ne reçoit qu'un code d'autorisation qu'elle échange contre des jetons.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.