Passer au contenu principal
L’authentification est une nouveauté : DiditAuth pour Android dépend de la version publiée. Les coordonnées de distribution, les versions et les signatures d’appel ne sont pas confirmées ici. N’installez pas un paquet dont le nom est supposé et n’utilisez pas le SDK de vérification d’identité comme SDK d’authentification.

​
Préparer l’application

  1. Vérifiez que l’authentification est activée pour votre application Didit, puis copiez son origine de connexion (https://<slug>.auth.didit.me, ou <slug>.sandbox.auth.didit.me pour le sandbox) depuis la console.
  2. Enregistrez une URL de rappel exacte, prise en charge par votre application et par l’environnement d’exécution. Validez la propriété des liens d’application ; ne supposez pas que des schémas d’URL personnalisés arbitraires sont acceptés.
  3. Séparez la configuration du sandbox et celle de production, y compris la gestion des rappels et les identifiants stockés.
  4. Choisissez votre correspondance stable entre la personne et son identifiant avant de connecter la vérification ou la surveillance.
Utilisez un onglet du navigateur système pour la connexion hébergée et validez le retour par le lien d’application. Les clés d’accès natives nécessitent le domaine configuré de la partie utilisatrice et le flux d’identifiants de la plateforme.

​
Implémenter le flux hébergé

Ouvrez un onglet du navigateur système avec l’URL {origin}/sign-in. Fournissez un state aléatoire et récent, un défi PKCE S256 et votre redirect_uri enregistré. Conservez le vérificateur dans votre application, uniquement pour cette tentative. La documentation de démarrage JavaScript présente le protocole sous-jacent ; dans le code natif, utilisez la cryptographie et la gestion des URL de la plateforme, et non les objets globaux du navigateur. Au retour, vérifiez le state, la durée de validité de la transaction et la destination du rappel avant d’échanger le code à usage unique auprès de token/. Utilisez le vérificateur d’origine et l’URI de redirection exact. Annuler ou fermer le navigateur ne constitue pas une connexion réussie. Stockez les tokens de rafraîchissement dans un stockage chiffré protégé par la plateforme ; ne les stockez jamais dans un fichier de préférences en clair, dans les données d’analytique ou dans les journaux de plantage. Validez la session en cours avec GET session/ et le token Bearer de l’utilisateur final. Sérialisez le rafraîchissement, remplacez les deux tokens ensemble et effacez l’état propre à l’utilisateur après la déconnexion. Consultez tokens et JWKS pour le contrat des requêtes et le comportement en cas de réutilisation d’un token de rafraîchissement.

​
Aperçu de la version du SDK natif

Les modules natifs d’authentification sont prévus pour fournir la connexion, l’accès à la session en cours, la récupération des tokens, la déconnexion et l’authentification renforcée, avec des signaux d’appareil automatiques. Les clés d’accès natives et le stockage protégé des tokens font partie de cette version. Les API d’encapsulation suivront leurs contrats de plateforme publiés ; ne copiez pas de paramètres de constructeur ou de signatures de méthodes devinés à partir d’un exemple de conception. Tant que le module n’est pas publié, désactivez son adaptateur ou utilisez une implémentation examinée du protocole hébergé pour votre application activée. N’annoncez pas un démarrage rapide natif de l’authentification fonctionnel en vous fondant uniquement sur l’installation du paquet.

​
Connecter la vérification et la surveillance

Votre serveur principal dérive vendor_data à partir de la personne authentifiée. Il crée des sessions de vérification ou génère des tokens de surveillance limités à cette personne. Ne renvoyez à votre application que l’identifiant d’authentification de session ou le token limité ; la clé API reste sur le serveur. Utilisez le SDK de vérification Android lorsque vous avez besoin de la vérification d’identité. Suivez la soumission de transactions via le SDK pour la prise en charge de la surveillance sur votre plateforme. Traitez séparément la connexion, la vérification et les décisions relatives aux transactions.

​
Vérifier l’intégration

Testez le retour dans une application relancée à froid, les passages en arrière-plan et au premier plan, l’annulation dans le navigateur, un rappel non concordant, la réutilisation d’un code, l’expiration des tokens, les rafraîchissements concurrents, l’authentification multifacteur, la déconnexion et la connexion avec un autre utilisateur. Testez l’enregistrement et la connexion avec une clé d’accès sur les appareils pris en charge, une fois cette version disponible. Une vérification propre à un appareil reste non vérifiée tant qu’elle n’a pas été exécutée sur la plateforme cible.
Dernière modification le 7 novembre 2026