Klienti OAuth (přihlášení aplikací)

Co dělá

Cizí aplikace — webshop, CMS, podporný widget — může svým navštěvníkům nabídnout přihlášení účtem XMPP místo dalšího vytváření hesel. Než to některá aplikace smí dělat, musíte ji zde zaregistrovat jako klenta OAuth.

Několik pojmů vysvětlených:

• OAuth je průmyslový standard pro to nechat aplikaci jednat jménem někoho, aniž by kdy viděla jeho heslo.
• Klient je jedna registrovaná aplikace. Každá aplikace dostává svou.
• Token je dočasný digitální klíč, který aplikace používá k důkazu, že je vpuštěna. Tokeny vypršou.
• Scope říká, co klíč smí otevřít — např. jen „přihlásit se“, nebo i „přečíst roli uživatele“.
• JID je adresa XMPP, jako je alice@example.com.

Tato stránka vypisuje všechny registrované klienty a je místo, kde z registrujete nové nebo mažete staré. Tato změna smí dělat jen superadmini.

Jak to funguje a proč

Když zaregistrujete klienta, zaznamená se v dvou místech, která se udržují v souladu: rejstřík tohoto gatewaye (který pohání i přihlašovací obrazovku se značkou a obrazovku souhlasu) a samotný server XMPP.

Volíte jeden ze dvou typů udělení:

• Implicitní — pro aplikace, které běží v prohlížeči. Uživatel se přihlásí na naší hostované stránce, uvidí obrazovku souhlasu se seznamem scopů popsaných srozumitelně a poté se vrátí do aplikace s tokenem. Tento typ potřebuje alespoň jeden redirect URI: přesnou webovou adresu, na kterou se token smí poslat. Shoda musí být znak za znakem, protože to zabrání, aby token padl do ruky podvodníkovi.
• Na heslo — pro důvěryhodné servisní aplikace. Aplikace dostane tajemství (jako servisní heslo) místo redirect URI. Tajemství se zobrazí jednou při registraci a uloží se jen jako otisk; uložte si jej hned do správce hesel.

Povolené scopy omezí, co klient může kdykoli požádat. Běžný soubor:

• sasl_auth — přihlásit se do serveru XMPP za uživatele.
• userinfo:read — přečíst roli, oprávnění a profil uživatele.
• profile:read — přečíst veřejnou kartu profilu uživatele.

Na obrazovce souhlasu uživatel vždy uvidí požadované scopy v srozumitelném jazyce a vybere, jak dlouho token platí. Když klient požádá o scope, který jste nepovolili, ten se beze zvuku zamítne.

Časté použití

• Tlačítko „Přihlásit se pomocí XMPP“ na webu. Z registrujte implicitního klienta s callbackovou adresou webu jako redirect URI.
• Servise, která se za uživatele připojuje k XMPP. Zaregistrujte klienta na heslo a předejte jeho tajemství provozovateli servisu.
• Chatový widget. Nastavení widgetu používá pro své přihlášení klienta z tohoto rejstříku, takže widget a vaše ostatní aplikace sdílejí stejnou řízenou seznam.
• Vyřazení aplikace. Smazte její klienta; aplikace už nemůže požádat o tokeny a její stávající tokeny lze zrušit z Konzole OAuth.

Aktivní tokeny

Spodní část stránky zobrazuje aktivní tokeny vydané pro jednotlivé uživatele. Z bezpečnostních důvodů se zobrazuje pouze prvních několik znaků každého tokenu. Vedle každého tokenu je tlačítko Kopírovat, které celý token uloží do schránky pro potřeby ladění nebo ručního předání důvěryhodné aplikaci. Token můžete také okamžitě zrušit tlačítkem Zrušit.