1 · Enregistrer l’application
Créez un client public dans Applications OAuth avec le nom de l’app et chaque URI de callback exacte.
2 · Charger les métadonnées OIDC
GET https://auth.nextstars.net/.well-known/openid-configurationUtilisez les endpoints retournés par le document de découverte, pas des adresses codées en dur.
3 · Utiliser Authorization Code + PKCE
Générez côté client un state, un nonce et un code_verifier cryptographiquement aléatoires. Calculez le challenge avec SHA-256 (S256), conservez les valeurs de vérification pendant le parcours et redirigez vers l’endpoint d’autorisation découvert.
response_type=code
client_id=VOTRE_CLIENT_ID
redirect_uri=VOTRE_URI_ENREGISTREE
scope=openid profile email
code_challenge=CHALLENGE_S256
code_challenge_method=S256
state=VALEUR_ALEATOIRE
nonce=VALEUR_ALEATOIRE4 · Vérifier le callback
Comparez state, échangez le code avec le code_verifier, puis validez la signature, l’émetteur, l’audience, le nonce et l’expiration de l’ID Token. Utilisez le UserInfo découvert et vérifiez que son sub correspond à celui du jeton.
5 · Demander seulement le consentement nécessaire
NextStars Auth présente les scopes à l’utilisateur et enregistre son consentement. Votre application ne reçoit pas de secret client ; ne considérez jamais un access token comme une clé d’accès aux API de compte NextStars.