Migrer les utilisateurs : importer mots de passe et MFA

https://apx.didit.me/auth/v2/organizations/{org_id}/applications/{application_id}/authentication/

​

Deux façons d’importer

​

Importer un fichier

​

1. Envoi

curl --fail-with-body "${MANAGEMENT_BASE}import-jobs/" \
  -H "Authorization: Bearer $CONSOLE_ACCESS_TOKEN" \
  -F file=@users.csv \
  -F passwords=import \
  -F keep_social=true \
  -F keep_verified=true \
  -F keep_mfa=true \
  -F keep_ids=true

​

2. Vérifier la simulation

​

3. Lancer l’import

• Les personnes sont importées par lots de 1 000. Chaque lot est enregistré séparément.
• Un seul import s’exécute à la fois par application (sinon import_running).
• Un import interrompu reprend après son dernier lot enregistré.
• Les personnes déjà importées sont ignorées, vous pouvez donc relancer le même fichier.
• La personne qui a lancé l’import reçoit un e-mail à la fin ou à l’arrêt de celui-ci.

​

Importer par lots

{
  "rows": [
    {
      "email": "user@example.com",
      "external_id": "user-1234",
      "email_verified": true,
      "display_name": "Example User",
      "password_hash": "$2b$12$...",
      "social": [{ "provider": "google", "subject": "1234567890" }],
      "organizations": [{ "slug": "acme", "name": "Acme", "role": "admin" }]
    }
  ],
  "dry_run": true,
  "idempotency_key": "migration-batch-0001"
}

• Une simulation renvoie 200 avec le résultat et n’écrit rien.
• Avec dry_run: false, un import réussi renvoie 201. Un lot comportant une erreur renvoie 400 et n’importe aucune personne.
• Répéter une requête enregistrée avec la même clé renvoie son résultat enregistré. La même clé avec un contenu différent renvoie 400 {"idempotency_key": "different_payload"}.
• Les paramètres Firebase vont dans un objet firebase : {signer_key, salt_separator, rounds, mem_cost}.
• GET imports/ liste les lots enregistrés.

​

Format du fichier

​

JSON

​

CSV

email,external_id,email_verified,password_hash,google_id,organization_slug,organization_role
user@example.com,user-1234,true,$2b$12$...,1234567890,acme,admin

​

Doublons et comptes existants

• Les lignes ayant le même e-mail forment une seule personne. Une ligne identique est comptée comme doublon. Une ligne comportant davantage de liens ou d’organisations, ou un authentificateur, est fusionnée.
• Deux hachages de mot de passe, secrets d’application d’authentification ou rôles d’organisation différents pour une même personne sont des erreurs. Il en va de même pour un external_id ou un identifiant de compte chez un fournisseur revendiqué par deux personnes.
• Si un compte avec cet e-mail existe déjà et qu’un import précédent l’a créé, la personne est ignorée (already_imported). Si la personne s’est inscrite d’elle-même, il s’agit d’une erreur identity_conflict. Un import ne modifie jamais un compte existant.

​

Mots de passe

​

Personnes sans mot de passe utilisable

​

Liens sociaux, authentificateurs et organisations

• Les liens sociaux sont conservés pour les fournisseurs que votre application a déjà configurés, sous son ID client actuel. Une connexion ultérieure ne nécessite alors aucune preuve de l’e-mail. Les identifiants (sujets) Google et GitHub sont globaux. Les identifiants Apple dépendent de l’équipe de développement, et ceux de Microsoft de l’enregistrement de l’application : ces liens ne correspondent donc que si votre ancienne plateforme utilisait la même équipe ou le même enregistrement. Les liens vers des fournisseurs que vous n’avez pas configurés sont comptés comme social_unavailable et ne sont pas importés.
• Les applications d’authentification (secrets TOTP : SHA-1, 6 chiffres, 30 secondes) sont stockées chiffrées. Les personnes importées doivent les utiliser comme second facteur. Elles ne reçoivent aucun code de récupération.
• Les organisations qui n’existent pas encore sont créées à partir de leur slug.
• Les clés d’accès ne peuvent pas être importées. Elles appartiennent à votre ancien domaine de connexion ; les personnes en ajoutent donc une nouvelle après s’être connectées avec Didit.

​

Résultats

​

Avant de basculer

• la connexion avec chaque format de mot de passe que vous importez,
• l’e-mail de définition d’un nouveau mot de passe pour une personne sans hachage utilisable,
• la connexion via les réseaux sociaux et les codes des applications d’authentification pour les personnes importées,
• l’exécution deux fois du même fichier.