Authentification unique (SSO)

Fonctionnement

1. Tant qu'un lecteur est connecté à votre site, votre serveur signe un jeton de courte durée qui indique qui il est.
2. Votre page transmet ce jeton au widget de commentaires via l'attribut sso-token.
3. Crowment vérifie la signature et connecte le lecteur aux commentaires sous cette identité.

Le jeton est signé avec un secret que seuls votre serveur et Crowment connaissent : personne ne peut donc connecter des lecteurs sous l'identité de quelqu'un d'autre. L'authentification unique est disponible dans toutes les offres.

1. Activez-la

Ouvrez Site Console → votre widget → Single Sign-On. Les propriétaires et les administrateurs peuvent modifier les réglages.

2. Signez un jeton sur votre serveur

Signez un JWT avec HS256 et votre secret à chaque affichage de page où un lecteur est connecté.

Un claim email n'est ni nécessaire ni utilisé : Crowment n'associe jamais des comptes par e-mail.

// npm install jsonwebtoken
import jwt from 'jsonwebtoken'

const ssoToken = jwt.sign(
  { sub: String(user.id), name: user.displayName, avatar: user.avatarUrl },
  process.env.CROWMENT_SSO_SECRET,
  { algorithm: 'HS256', audience: CROWMENT_APP_KEY, expiresIn: '1h' },
)

// composer require firebase/php-jwt
use Firebase\JWT\JWT;

$now = time();
$ssoToken = JWT::encode([
    'sub'    => (string) $user->id,
    'name'   => $user->display_name,
    'avatar' => $user->avatar_url,
    'aud'    => CROWMENT_APP_KEY,
    'iat'    => $now,
    'exp'    => $now + 3600,
], getenv('CROWMENT_SSO_SECRET'), 'HS256');

# pip install pyjwt
import os
from datetime import datetime, timedelta, timezone
import jwt

now = datetime.now(timezone.utc)
sso_token = jwt.encode(
    {
        "sub": str(user.id),
        "name": user.display_name,
        "avatar": user.avatar_url,
        "aud": CROWMENT_APP_KEY,
        "iat": now,
        "exp": now + timedelta(hours=1),
    },
    os.environ["CROWMENT_SSO_SECRET"],
    algorithm="HS256",
)

// go get github.com/golang-jwt/jwt/v5
now := time.Now()
ssoToken, err := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
    "sub":    strconv.FormatInt(user.ID, 10),
    "name":   user.DisplayName,
    "avatar": user.AvatarURL,
    "aud":    crowmentAppKey,
    "iat":    now.Unix(),
    "exp":    now.Add(time.Hour).Unix(),
}).SignedString([]byte(os.Getenv("CROWMENT_SSO_SECRET")))

3. Transmettez-le au widget

Sur les pages rendues côté serveur, placez le jeton dans le code d'intégration :

<script defer src="https://embeds.crowment.com/comments.js"></script>

<!-- signed in: pass the token your backend signed for this page view -->
<crow-comments app-key="YOUR_APP_KEY" sso-token="SIGNED_TOKEN"></crow-comments>

<!-- signed out: leave sso-token out -->
<crow-comments app-key="YOUR_APP_KEY"></crow-comments>

Transmettez un jeton sur chaque page où le lecteur est connecté. Une page sans jeton indique au widget que le lecteur s'est déconnecté, et le widget le déconnecte aussi des commentaires. Visiter d'autres pages ne le reconnecte pas à chaque fois : le widget conserve sa session et n'échange un nouveau jeton que lorsque le lecteur change.

Dans une application monopage, ajoutez et retirez l'attribut au fil des changements de connexion, et écoutez les événements du widget :

const widget = document.querySelector('crow-comments')

// after your site signs the reader in
widget.setAttribute('sso-token', await fetchCrowmentToken())

// after your site signs the reader out
widget.removeAttribute('sso-token')

// the token expired while the page was open: hand over a fresh one
widget.addEventListener('crow:sso-expired', async () => {
  widget.setAttribute('sso-token', await fetchCrowmentToken())
})

// Required mode without a sign-in page: show your own login
widget.addEventListener('crow:login-required', () => openLoginDialog())

• crow:sso-expired : le widget devait connecter le lecteur, mais le jeton avait expiré. Fournissez-en un nouveau.
• crow:login-required : mode Required, aucune page de connexion définie, et le lecteur a cliqué sur le bouton de connexion.

Les lecteurs connectés via votre site se déconnectent sur votre site. Sans page de déconnexion, le widget masque son propre bouton de déconnexion, puisque l'absence de jeton sur la page suivante les déconnecte de toute façon.

4. Association de comptes

Un lecteur qui possède déjà un compte Crowment peut l'associer depuis l'espace de commentaires, avec l'icône de lien à côté de son avatar. Il se connecte à Crowment dans une fenêtre pop-up et confirme sur une page Crowment. Dès lors, votre site le connecte avec son compte Crowment, et les commentaires écrits avec son compte de votre site y sont transférés.

L'association permet à votre site de connecter ce lecteur avec son compte Crowment sur vos propres pages uniquement ; la page de confirmation le lui indique. Il peut dissocier son compte à tout moment depuis Profile → Linked sites dans la User Console ; ses commentaires restent les siens. Vous pouvez désactiver l'association avec Account linking dans les réglages SSO.

Le nom et l'avatar de votre jeton mettent à jour le profil de commentaires du lecteur à chaque connexion. Les comptes Crowment associés conservent leurs propres nom et avatar.

Sécurité

• Gardez le secret sur votre serveur. Quiconque le possède peut connecter n'importe quel lecteur sous n'importe quelle identité sur votre site.
• En cas de fuite, choisissez Replace secret. Les jetons signés avec l'ancien secret cessent immédiatement de fonctionner : déployez le nouveau sans attendre. Les lecteurs déjà connectés aux commentaires le restent.
• Ne signez de jetons que pour le lecteur de la requête en cours, et gardez-les de courte durée.

Dépannage