> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# Autenticació amb Next.js: inici ràpid

> Planifica una sessió d'autenticació gestionada pel servidor amb callbacks PKCE, cookies HttpOnly i autorització a les sol·licituds protegides amb Didit.

> [!WARNING]
>
> L'autenticació és nova: `@didit-protocol/auth-nextjs` i el verificador de servidor principal depenen de la versió publicada. Abans del llançament del paquet no hi ha cap ruta d'importació de middleware, cap nom de cookie ni cap forma del retorn de `auth()` prescrita. Els tokens d'accés són JWT ES256: verifica'ls amb el JWKS de la teva aplicació, i crida `GET session/` quan necessitis saber que la sessió encara està activa.

## Mantén la sessió al teu servidor

Fes servir el flux allotjat descrit a la [guia d'inici ràpid de JavaScript](https://docs.didit.me/ca/authentication/quickstarts/javascript.md), amb els canvis següents per a una aplicació renderitzada al servidor. Els noms de les rutes són rutes de la teva aplicació que tu implementes, no endpoints de l'API de Didit.

| Ruta de l'aplicació | Responsabilitat |
| - | - |
| Iniciar sessió | Genera state i S256 PKCE; desa la transacció en una sessió de servidor de vida curta; redirigeix a `{origin}/sign-in`. |
| Callback registrat | Valida state i la caducitat, consumeix la transacció una sola vegada, intercanvia el codi mitjançant `token/` i desa els tokens al servidor. |
| Pàgina o ruta d'API protegida | Llegeix la cookie de sessió i verifica el token d'accés de l'usuari final amb el teu JWKS, o a `session/` quan la revocació ha de ser immediata; autoritza l'acció sol·licitada per a aquesta persona. |
| Renovació | Serialitza la renovació per sessió, crida `token/` i substitueix el parell de tokens de manera atòmica. |
| Tancament de sessió | Mutació protegida contra CSRF que revoca `session/` i esborra la sessió de l'aplicació. |

Envia només una referència aleatòria de sessió de l'aplicació en una cookie `Secure`, `HttpOnly`, `SameSite=Lax` amb un camí restringit. Fes servir una caducitat adequada i rota la referència després de l'inici de sessió. No exposis el token de refresc de Didit en props renderitzades, components de client ni emmagatzematge del navegador. Fes servir `Cache-Control: no-store` a les respostes de token i de callback.

No confiïs només en una comprovació del layout o del middleware: autoritza a cada accés a dades i a cada mutació. Protegeix les mutacions autenticades amb cookies contra CSRF. Permet només les destinacions configurades després de l'inici de sessió, mai una URL `returnTo` arbitrària de la cadena de consulta.

## Vista prèvia del paquet

El paquet previst afegeix middleware, `auth()` del costat del servidor, una ruta de callback i suport de cookies HttpOnly per al renderitzat al servidor. L'entrada `/server` del nucli està pensada per oferir `verifyToken()` amb JWKS en memòria cau. Espera les exportacions verificades de la versió publicada abans d'utilitzar aquests símbols. Mentrestant, verifica els tokens tu mateix amb qualsevol biblioteca JOSE, tal com es descriu a [tokens i JWKS](https://docs.didit.me/ca/authentication/tokens-and-jwks.md).

## Connecta els altres productes

Crea sessions de verificació i emet tokens de monitoratge amb abast limitat al servidor. Deriva `vendor_data` del mapatge validat de la persona. Retorna al navegador només una URL de sessió de verificació o un token SDK de vida curta. Mantén `DIDIT_API_KEY` fora de les variables d'entorn públiques.

Fes servir el [SDK de verificació web](https://docs.didit.me/ca/integration/web-sdks/javascript-sdk.md) existent per a la verificació i la [guia d'enviament de transaccions](https://docs.didit.me/ca/transaction-monitoring/sdk-transaction-submission.md) per al monitoratge. Cap dels dos no és un gestor de sessions d'Autenticació.

Prova la repetició de callbacks, el state incorrecte, el state caducat, les condicions de competició durant la renovació, les sessions revocades, el rebuig de CSRF i el tancament de sessió abans del llançament. Consulta [tokens i JWKS](https://docs.didit.me/ca/authentication/tokens-and-jwks.md) per al contracte de validació.


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.