Vai al contenuto principale
Authentication è una novità: DiditAuth per Android dipende dalla release. Le coordinate di distribuzione, le versioni e le firme delle funzioni richiamabili non sono confermate in questa pagina. Non installare un pacchetto ipotizzato e non usare l’SDK per la verifica dell’identità come SDK di Authentication.

​
Prepara l’applicazione

  1. Verifica che Authentication sia abilitato per la tua applicazione Didit e copia dalla console la sua origine di accesso (https://<slug>.auth.didit.me, o <slug>.sandbox.auth.didit.me per il sandbox).
  2. Registra un URL di callback esatto, supportato dalla tua applicazione e dal runtime. Valida la proprietà dei link delle app; non dare per scontato che vengano accettati schemi URL personalizzati arbitrari.
  3. Mantieni separate la configurazione sandbox e quella di produzione, incluse la gestione dei callback e le credenziali salvate.
  4. Scegli la tua mappatura stabile della persona prima di collegare la verifica o il monitoraggio.
Usa una scheda del browser di sistema per l’accesso tramite la pagina ospitata e valida il link dell’app di ritorno. Le passkey native richiedono il dominio della parte affidante configurato e il flusso di credenziali della piattaforma.

​
Implementa il flusso ospitato

Apri una scheda del browser di sistema con l’URL {origin}/sign-in. Fornisci un nuovo state casuale, una sfida PKCE S256 e il tuo redirect_uri registrato. Conserva il verificatore nella tua app solo per quel tentativo. La guida rapida JavaScript mostra il protocollo sottostante; nel codice nativo usa la crittografia e la gestione degli URL della piattaforma, non gli oggetti globali del browser. Al ritorno sul callback, verifica lo state, la durata della transazione e la destinazione del callback prima di inviare il codice monouso a token/ per scambiarlo. Usa il verificatore originale e l’URI di reindirizzamento esatto. Annullare o chiudere il browser non equivale a un accesso riuscito. Salva i refresh token nell’archiviazione cifrata protetta dalla piattaforma; non memorizzarli mai in un file di preferenze in chiaro, nei sistemi di analisi o nei log dei crash. Valida la sessione corrente usando GET session/ con il token Bearer dell’utente finale. Serializza le operazioni di rinnovo, sostituisci entrambi i token insieme e cancella lo stato specifico dell’utente dopo il logout. Consulta token e JWKS per il contratto delle richieste e il comportamento in caso di riutilizzo del refresh token.

​
Anteprima della release dell’SDK nativo

I moduli nativi di Authentication sono previsti per offrire accesso, accesso alla sessione corrente, recupero dei token, logout e step-up, con segnali automatici del dispositivo. Le passkey native e l’archiviazione protetta dei token fanno parte di quella release. Le API wrapper seguiranno i contratti di piattaforma pubblicati; non copiare argomenti del costruttore o firme dei metodi ipotetici da un esempio di progettazione. Finché il modulo non viene rilasciato, disattiva il relativo adapter oppure usa un’implementazione revisionata del protocollo ospitato per la tua applicazione abilitata. Non pubblicizzare una guida rapida nativa funzionante di Authentication basata solo sull’installazione del pacchetto.

​
Collega verifica e monitoraggio

Il tuo backend deriva vendor_data dalla persona autenticata. Crea le sessioni di verifica o emette token di monitoraggio con ambito limitato per quella persona. Restituisci alla tua app solo la credenziale di sessione o il token con ambito limitato; la chiave API resta sul server. Usa l’SDK Android per la verifica dell’identità quando ti serve la verifica dell’identità. Segui l’invio delle transazioni tramite SDK per il supporto al monitoraggio sulla tua piattaforma. Tratta separatamente l’accesso, la verifica e le decisioni sulle transazioni.

​
Verifica l’integrazione

Testa il ritorno all’app dopo un avvio a freddo, le transizioni tra background e foreground, l’annullamento nel browser, un callback non corrispondente, il replay del codice, la scadenza dei token, il refresh concorrente, l’MFA, il logout e l’accesso con un altro utente. Testa la registrazione e l’accesso con passkey sui dispositivi supportati, quando la release sarà disponibile. Un controllo eseguito esclusivamente sul dispositivo resta non verificato finché non viene eseguito sulla piattaforma di destinazione.
Ultima modifica il 7 novembre 2026