Django : connexion OpenID Connect avec mozilla-django-oidc

Connexion avec Dazr Identity : OpenID Connect gratuit, hébergé dans l’UE, avec passkeys, codes par e-mail et comptes Google ou Microsoft derrière un seul bouton.

Il vous faut trois valeurs de la console développeurs : l’ID client, le secret client (applications serveur web uniquement) et l’URI de redirection que vous avez enregistrée. Le reste se trouve dans le document de découverte à l’adresse https://identity.dazr.eu/.well-known/openid-configuration.

Django

Utilisez mozilla-django-oidc. Enregistrez une application serveur web avec l’URI de redirection https://app.example.eu/oidc/callback/. La bibliothèque ne lit pas le document de discovery, les endpoints sont donc écrits en clair.

# settings.py
import os

INSTALLED_APPS += ["mozilla_django_oidc"]  # after django.contrib.auth
AUTHENTICATION_BACKENDS = [
    "mozilla_django_oidc.auth.OIDCAuthenticationBackend",
    "django.contrib.auth.backends.ModelBackend",
]

OIDC_RP_CLIENT_ID = os.environ["DAZR_CLIENT_ID"]
OIDC_RP_CLIENT_SECRET = os.environ["DAZR_CLIENT_SECRET"]
OIDC_RP_SCOPES = "openid profile email"
OIDC_RP_SIGN_ALGO = "ES256"
OIDC_OP_JWKS_ENDPOINT = "https://identity.dazr.eu/oauth/jwks"
OIDC_OP_AUTHORIZATION_ENDPOINT = "https://identity.dazr.eu/oauth/authorize"
OIDC_OP_TOKEN_ENDPOINT = "https://identity.dazr.eu/oauth/token"
OIDC_OP_USER_ENDPOINT = "https://identity.dazr.eu/oauth/userinfo"
OIDC_USE_PKCE = True
OIDC_PKCE_CODE_CHALLENGE_METHOD = "S256"

LOGIN_REDIRECT_URL = "/"
LOGOUT_REDIRECT_URL = "/"

# urls.py
from django.urls import include, path
urlpatterns += [path("oidc/", include("mozilla_django_oidc.urls"))]

# template: start the sign-in
# <a href="{% url 'oidc_authentication_init' %}">Sign in with Dazr Identity</a>

Par défaut, le backend associe les utilisateurs par e-mail. Pour associer les comptes à sub, créez une sous-classe de OIDCAuthenticationBackend et redéfinissez filter_users_by_claims et create_user. Utilisez une version récente : les anciennes versions ne vérifient pas les signatures ES256.

Associez les comptes à sub, pas à l’e-mail Le claim sub est pairwise : le même pour chaque application de votre organisation, différent pour toute autre organisation. Il ne change jamais pour une personne, alors qu’une adresse e-mail peut changer. Enregistrez sub comme clé du compte et traitez email comme une donnée de contact.

Plus pour les développeurs

Documentation développeursTous les guides d’intégrationToute bibliothèque OpenID ConnectTarifs