« Se connecter avec Ngoni ID » dans votre application

Ngoni ID est un fournisseur OpenID Connect standard. N'importe quelle bibliothèque OIDC sait s'y brancher. Vos utilisateurs se connectent sans mot de passe et sans SMS : ils valident sur leur téléphone (Ngoni Auth), ou recopient un code à 6 chiffres.

1. Obtenir un identifiant

Demandez un client_id (et un client_secret si votre application a un serveur) en donnant : le nom de l'application, sa couleur, ses adresses de retour (redirect_uri, correspondance exacte) et, si vous voulez être prévenu des déconnexions, une adresse de back-channel logout.

2. Configuration

Découverte : https://id.ismaeldev.fr/.well-known/openid-configuration
Émetteur   : https://id.ismaeldev.fr
Autorisation : https://id.ismaeldev.fr/oauth/authorize
Jetons     : https://id.ismaeldev.fr/oauth/token
Utilisateur : https://id.ismaeldev.fr/oauth/userinfo
Clés (JWKS) : https://id.ismaeldev.fr/oauth/jwks
Déconnexion : https://id.ismaeldev.fr/oauth/logout

Flux code d'autorisation + PKCE (S256) obligatoire, comme le veut OAuth 2.1. Pas de flux implicite.
Portées : openid (obligatoire), profile (nom), phone (numéro, pays), offline_access.
Jetons signés en RS256. Vérifiez l'id_token avec le JWKS (iss, aud, exp, nonce).
Le jeton de renouvellement change à chaque usage. S'il est présenté deux fois, toute la connexion est fermée.
sub est stable et ne révèle pas le numéro. sid identifie la connexion (pour la déconnexion).
phone_number_verified vaut toujours false : aucun SMS n'est envoyé. Le numéro est prouvé par le téléphone de confiance de la personne.

3. Exemple

GET https://id.ismaeldev.fr/oauth/authorize?response_type=code
    &client_id=mon-appli
    &redirect_uri=https://mon-appli.example/retour
    &scope=openid%20profile%20phone
    &state=…&nonce=…
    &code_challenge=…&code_challenge_method=S256

POST https://id.ismaeldev.fr/oauth/token
  grant_type=authorization_code&code=…&redirect_uri=…&code_verifier=…
  (HTTP Basic client_id:client_secret, ou client_id seul pour une appli publique)

4. Déconnexion

Quand la personne ferme la connexion depuis Ngoni Auth, Ngoni ID envoie un logout_token à votre adresse de back-channel logout (OpenID Connect Back-Channel Logout 1.0, sid inclus). Pour déconnecter depuis votre appli : https://id.ismaeldev.fr/oauth/logout?id_token_hint=…&post_logout_redirect_uri=….

5. Applications mobiles et API serveur

Une application mobile native utilise le même flux, dans un onglet de navigateur sécurisé (ASWebAuthenticationSession, Custom Tabs), en client public avec PKCE. Les applications IsmaelDev disposent aussi d'une API serveur à serveur (demande « Autoriser », code à 6 chiffres, liens de comptes), décrite dans la documentation de l'API.