Django: acceso OpenID Connect con mozilla-django-oidc

Inicio de sesión con Dazr Identity: OpenID Connect gratis, alojado en la UE, con passkeys, códigos por correo y cuentas de Google o Microsoft tras un solo botón.

Necesitas tres valores de la consola para desarrolladores: el ID de cliente, el secreto de cliente (solo apps de servidor web) y la URI de redirección que registraste. Todo lo demás está en el documento de descubrimiento en https://identity.dazr.eu/.well-known/openid-configuration.

Django

Usa mozilla-django-oidc. Registra una app de servidor web con la URI de redirección https://app.example.eu/oidc/callback/. La biblioteca no lee el documento de discovery, por eso los endpoints están escritos.

# settings.py
import os

INSTALLED_APPS += ["mozilla_django_oidc"]  # after django.contrib.auth
AUTHENTICATION_BACKENDS = [
    "mozilla_django_oidc.auth.OIDCAuthenticationBackend",
    "django.contrib.auth.backends.ModelBackend",
]

OIDC_RP_CLIENT_ID = os.environ["DAZR_CLIENT_ID"]
OIDC_RP_CLIENT_SECRET = os.environ["DAZR_CLIENT_SECRET"]
OIDC_RP_SCOPES = "openid profile email"
OIDC_RP_SIGN_ALGO = "ES256"
OIDC_OP_JWKS_ENDPOINT = "https://identity.dazr.eu/oauth/jwks"
OIDC_OP_AUTHORIZATION_ENDPOINT = "https://identity.dazr.eu/oauth/authorize"
OIDC_OP_TOKEN_ENDPOINT = "https://identity.dazr.eu/oauth/token"
OIDC_OP_USER_ENDPOINT = "https://identity.dazr.eu/oauth/userinfo"
OIDC_USE_PKCE = True
OIDC_PKCE_CODE_CHALLENGE_METHOD = "S256"

LOGIN_REDIRECT_URL = "/"
LOGOUT_REDIRECT_URL = "/"

# urls.py
from django.urls import include, path
urlpatterns += [path("oidc/", include("mozilla_django_oidc.urls"))]

# template: start the sign-in
# <a href="{% url 'oidc_authentication_init' %}">Sign in with Dazr Identity</a>

Por defecto, el backend asocia a los usuarios por correo. Para vincular las cuentas a sub, crea una subclase de OIDCAuthenticationBackend y sobrescribe filter_users_by_claims y create_user. Usa una versión actual: las versiones antiguas no verifican firmas ES256.

Vincula las cuentas a sub, no al correo El claim sub es pairwise: el mismo para todas las apps de tu organización y distinto para cualquier otra organización. Nunca cambia para una persona, mientras que un correo sí puede cambiar. Guarda sub como clave de la cuenta y trata email como dato de contacto.

Más para desarrolladores

Documentación para desarrolladoresTodas las guías de integraciónCualquier biblioteca OpenID ConnectPrecios