Inicio de sesión único (SSO)

Cómo funciona

1. Mientras un lector tiene la sesión iniciada en tu sitio, tu servidor firma un token de corta duración que indica quién es.
2. Tu página pasa ese token al widget de comentarios en el atributo sso-token.
3. Crowment comprueba la firma e inicia la sesión del lector en los comentarios con esa identidad.

El token se firma con un secreto que solo conocen tu servidor y Crowment, así que nadie puede iniciar sesión en nombre de otra persona. El inicio de sesión único está disponible en todos los planes.

1. Actívalo

Abre Site Console → tu widget → Single Sign-On. Propietarios y administradores pueden cambiar los ajustes.

2. Firma un token en tu servidor

Firma un JWT con HS256 y tu secreto en cada vista de página en la que un lector tenga la sesión iniciada.

No hace falta un claim email y no se usa: Crowment nunca asocia cuentas por correo.

// npm install jsonwebtoken
import jwt from 'jsonwebtoken'

const ssoToken = jwt.sign(
  { sub: String(user.id), name: user.displayName, avatar: user.avatarUrl },
  process.env.CROWMENT_SSO_SECRET,
  { algorithm: 'HS256', audience: CROWMENT_APP_KEY, expiresIn: '1h' },
)

// composer require firebase/php-jwt
use Firebase\JWT\JWT;

$now = time();
$ssoToken = JWT::encode([
    'sub'    => (string) $user->id,
    'name'   => $user->display_name,
    'avatar' => $user->avatar_url,
    'aud'    => CROWMENT_APP_KEY,
    'iat'    => $now,
    'exp'    => $now + 3600,
], getenv('CROWMENT_SSO_SECRET'), 'HS256');

# pip install pyjwt
import os
from datetime import datetime, timedelta, timezone
import jwt

now = datetime.now(timezone.utc)
sso_token = jwt.encode(
    {
        "sub": str(user.id),
        "name": user.display_name,
        "avatar": user.avatar_url,
        "aud": CROWMENT_APP_KEY,
        "iat": now,
        "exp": now + timedelta(hours=1),
    },
    os.environ["CROWMENT_SSO_SECRET"],
    algorithm="HS256",
)

// go get github.com/golang-jwt/jwt/v5
now := time.Now()
ssoToken, err := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
    "sub":    strconv.FormatInt(user.ID, 10),
    "name":   user.DisplayName,
    "avatar": user.AvatarURL,
    "aud":    crowmentAppKey,
    "iat":    now.Unix(),
    "exp":    now.Add(time.Hour).Unix(),
}).SignedString([]byte(os.Getenv("CROWMENT_SSO_SECRET")))

3. Pásalo al widget

En páginas renderizadas en el servidor, pon el token en el código de inserción:

<script defer src="https://embeds.crowment.com/comments.js"></script>

<!-- signed in: pass the token your backend signed for this page view -->
<crow-comments app-key="YOUR_APP_KEY" sso-token="SIGNED_TOKEN"></crow-comments>

<!-- signed out: leave sso-token out -->
<crow-comments app-key="YOUR_APP_KEY"></crow-comments>

Pasa un token en cada página en la que el lector tenga la sesión iniciada. Una página sin token indica al widget que el lector cerró sesión, y el widget también la cierra en los comentarios. Visitar más páginas no vuelve a iniciar la sesión cada vez: el widget mantiene su sesión y solo intercambia un token nuevo cuando cambia el lector.

En una aplicación de una sola página, añade y quita el atributo a medida que cambia tu estado de sesión, y escucha los eventos del widget:

const widget = document.querySelector('crow-comments')

// after your site signs the reader in
widget.setAttribute('sso-token', await fetchCrowmentToken())

// after your site signs the reader out
widget.removeAttribute('sso-token')

// the token expired while the page was open: hand over a fresh one
widget.addEventListener('crow:sso-expired', async () => {
  widget.setAttribute('sso-token', await fetchCrowmentToken())
})

// Required mode without a sign-in page: show your own login
widget.addEventListener('crow:login-required', () => openLoginDialog())

• crow:sso-expired: el widget necesitaba iniciar la sesión del lector, pero el token había caducado. Pasa uno nuevo.
• crow:login-required: modo Required, sin página de inicio de sesión definida, y el lector pulsó el botón de iniciar sesión.

Los lectores que iniciaron sesión a través de tu sitio la cierran en tu sitio. Sin página de cierre de sesión, el widget oculta su propio botón de cerrar sesión, ya que omitir el token en la siguiente página ya cierra la sesión.

4. Vinculación de cuentas

Un lector que ya tiene una cuenta de Crowment puede vincularla desde la sección de comentarios, con el icono de enlace junto a su avatar. Inicia sesión en Crowment en una ventana emergente y confirma en una página de Crowment. A partir de entonces, tu sitio inicia su sesión con su cuenta de Crowment, y los comentarios que escribió con la cuenta de tu sitio pasan a ella.

La vinculación permite que tu sitio inicie la sesión de ese lector con su cuenta de Crowment solo en tus propias páginas; la página de confirmación se lo indica. Puede desvincularla en cualquier momento en Profile → Linked sites de la User Console; sus comentarios se quedan con él. Puedes desactivar la vinculación con Account linking en los ajustes de SSO.

Los nombres y avatares de tu token actualizan el perfil de comentarios del lector en cada inicio de sesión. Las cuentas de Crowment vinculadas conservan su propio nombre y avatar.

Seguridad

• Guarda el secreto en tu servidor. Quien lo tenga puede iniciar la sesión de cualquier lector en tu sitio en nombre de cualquiera.
• Si se filtra, elige Replace secret. Los tokens firmados con el secreto anterior dejan de funcionar al instante, así que despliega el nuevo de inmediato. Los lectores que ya tenían sesión en los comentarios la mantienen.
• Firma tokens solo para el lector de la petición actual y mantenlos de corta duración.

Solución de problemas