JWT

Utilisez JWT (JSON Web Token) pour connecter les lecteurs à votre site de base de connaissances privée depuis votre propre application. Un JWT est un jeton signé qui porte l’identité du lecteur : les lecteurs se connectent à votre application, et Document360 fait confiance à cette connexion, donc vous n’avez pas besoin d’un fournisseur d’identité (IdP) ou de comptes lecteurs dans Document360.

Cet article vous aide à décider si JWT vous convient, vous montre l’ordre de configuration et explique le flux de connexion que vos développeurs vont construire.

Décidez si JWT est fait pour vous

Utilisez JWT si :

• Vous n’avez pas d’IDP, ou vous préférez gérer la connexion dans votre propre application.
• Vous voulez contrôler la connexion et le provisionnement des lecteurs depuis votre application.

Utilisez plutôt SAML ou OpenID Connect si :

• Votre organisation utilise déjà un IDP, tel qu’Okta, Microsoft Entra ID ou Google Workspace, et vous souhaitez que les lecteurs s’y connectent.
• Vous avez besoin que les utilisateurs se connectent au portail de la base de connaissances. JWT connecte les lecteurs uniquement sur le site de la base de connaissances.
• Vous devez enregistrer automatiquement les lecteurs SSO, laisser les lecteurs s’enregistrer eux-mêmes, ou passer la page de connexion de Document360. JWT ne prend pas en charge ces lignes.

Création de JWT

Avant que tu commences

• Vous avez besoin du rôle de Propriétaire ou d’Administrateur dans votre projet Document360.
• Vous avez besoin d’un développeur capable d’ajouter la logique de connexion au backend de votre application.

Suivez ces étapes dans l’ordre :

1. Configurez JWT dans Document360 : Créez votre configuration JWT et obtenez votre ID Client et Client Secret.
2. Implémentez JWT dans votre application : ajoutez la logique de redirection backend, avec des exemples de code en C#, Node.js et Java.
3. Testez votre configuration JWT : vérifiez votre configuration avec cURL ou Postman avant de lancer la mise en ligne.
4. (Optionnel) Modifier les paramètres de connexion : Activez la connexion directe JWT pour envoyer les lecteurs directement vers votre page de connexion.

Comment fonctionne la connexion JWT

Cette section est destinée au développeur implémentant JWT. Document360 utilise un flux similaire à PKCE (Proof Key for Code Exchange), une méthode OAuth sécurisée : votre backend échange l’identité du lecteur contre un code à usage unique, et Document360 échange ce code contre un jeton.

Termes clés

Flux de connexion

1. Le lecteur ouvre votre site de base de connaissances privée. Document360 voit que JWT est activé et envoie le lecteur vers votre URL de connexion.
2. Le lecteur se connecte à votre candidature, s’il ne l’a pas déjà fait. Votre candidature vérifie leurs identifiants.
3. Votre backend demande un code d’autorisation à usage unique. Il envoie une POST requête à l’URL de génération de code, autorisée avec l’authentification HTTP Basic en utilisant votre identifiant client et votre secret client :

    Authorization: Basic Base64Encode(clientId:clientSecret)

With this JSON payload:

    {
      "username": "firstname lastname",
      "firstName": "firstname",
      "lastName": "lastname",
      "emailId": "reader email",
      "readerGroupIds": ["reader-group-id"],
      "tokenValidity": 15
    }

| Field | Description |
|---|---|
| `username` | The reader's full name. |
| `firstName` | The reader's first name. |
| `lastName` | The reader's last name. |
| `emailId` | The reader's email address. |
| `readerGroupIds` | (Optional) The reader groups that control which content the reader can see. Get the IDs from the **Reader groups** overview page in the Document360 portal. |
| `tokenValidity` | How long the reader's session lasts, in minutes. See [Token validity and sessions](#token-validity-and-sessions). |

4. Document360 renvoie un code d’autorisation. Le serveur d’identité Document360 vérifie votre identifiant client et votre secret client, et s’ils sont valides, envoie un code à usage unique à votre backend.
5. Votre application renvoie le lecteur vers Document360. Votre backend ajoute le code à l’URL de rappel et redirige le lecteur, par https://yourproject.document360.io/jwt/authorize?code=xyzexemple. Le code ne fonctionne qu’une seule fois.
6. Document360 échange le code contre un jeton. Le site de la base de connaissances envoie le code au serveur d’identité via un canal sécurisé et reçoit un JWT avec les informations du lecteur.
7. Document360 lance la session du lecteur. Il vérifie le jeton, lit les détails et groupes de lecteurs du lecteur, et leur donne accès aux catégories, langues et versions autorisées par ces groupes.

Validité des jetons et sessions

• Fixez la durée de la session avec tokenValidity, de 5 à 1 440 minutes. Les valeurs inférieures à 5 deviennent 5, et les valeurs supérieures à 1 440 deviennent 1 440.
• Lorsque le jeton expire, Document360 renvoie le lecteur à votre URL de connexion. S’ils sont toujours connectés à votre application, un nouveau code est généré et leur session se poursuit sans autre connexion.
• Se déconnecter de votre application ne met pas fin à la session Document360 du lecteur. La session reste active jusqu’à l’expiration du jeton. Par exemple, avec une validité de 1 440 minutes, le lecteur conserve l’accès jusqu’à un jour après la déconnexion.

Faites plus avec JWT

• Gérez les configurations JWT : activez ou désactivez les configurations, supprimez-les, faites pivoter les jetons, et gérez le routage de domaine, les états des pages de connexion et les journaux d’audit.
• Contrôlez l’accès au contenu avec les groupes de lecteurs : Attribuez les lecteurs aux groupes via JWT.
• Configurez JWT pour le widget de la base de connaissances : connectez les lecteurs à votre widget intégré.
• Sécurisez le chatbot IA avec JWT : Connectez les lecteurs au chatbot IA.

FAQ