Se connecter avec Nexus
Comme « Se connecter avec Google » : un bouton sur votre site, votre administration WordPress ou votre application, et la personne entre avec son compte Nexus. Nexus est un fournisseur OpenID Connect standard : toute bibliothèque OIDC le découvre seule.
En trois gestes
1. Enregistrez l’application cliente. Demandez-le à l’agent de votre projet
(« ajoute la connexion avec Nexus au site »), ou appelez POST /connexion/apps
avec son nom et ses adresses de retour, à l’identique. Rangée dans un projet, elle pose
NEXUS_CLIENT_ID, NEXUS_CLIENT_SECRET et NEXUS_ISSUER au coffre
du projet : le .env se génère avec, et le secret ne s’affiche jamais.
2. Posez le bouton. Le kit (GET /connexion/apps/:id/kit) rend le code
prêt pour votre pile : page seule ou application web avec le composant
<nexus-connexion>, application mobile (PKCE, navigateur du système), Node/Express,
PHP, ou l’extension WordPress pour entrer dans wp-admin.
3. Lisez l’identité. sub est propre à votre site et ne change pas ;
selon ce que la personne accepte : name, picture, email
(toujours vérifiée). acr et amr disent si la double authentification a été
passée.
<script src="https://nexus-engine.eu/connexion-nexus/kit.js" defer></script>
<nexus-connexion client-id="nxc_…" redirect-uri="https://votre-site.fr/connexion"></nexus-connexion>Le bouton
« Se connecter » par défaut, avec le symbole de Nexus. Il se règle sans perdre son
identité : variante (sombre, clair, contour), taille (petit, moyen, grand),
rayon, pleine-largeur, texte (« Se connecter avec Nexus »,
« Continuer avec Nexus » ou libre), langue, icone-seule. Son nom
accessible dit toujours Nexus, son focus est visible. Sans JavaScript : le kit donne le même
bouton en HTML et CSS purs.
Ce que voit la personne
Une page de Nexus : le nom et le logo de votre site, et surtout le domaine où elle sera
renvoyée, vérifié parce qu’il est enregistré à l’identique. Elle choisit son compte et son espace,
voit ce que vous recevrez, autorise ou refuse. La fois suivante, aucun écran (sauf
prompt=consent). Vous réglez le logo, le nom, une couleur d’accent et vos liens de
conditions et de confidentialité ; jamais la structure de sécurité.
Sécurité
- PKCE
- Obligatoire, S256 seulement, pour toutes les applications ; une application publique (page, mobile) n’a pas de secret.
- Adresses de retour
- Égalité exacte, sans joker ; https, ou http sur localhost, ou un schéma privé d’application native.
- Codes et jetons
- Code de cinq minutes, à usage unique ; rejoué, il révoque la connexion. Accès d’une heure, rafraîchissement de trente jours à rotation, réutilisation détectée. Jetons d’identité signés RS256, clés publiées au JWKS.
- Double authentification
- Activée par la personne, elle s’applique ici aussi. Votre application peut l’exiger (réglage ou
acr_values=urn:nexus:acr:mfa) : un compte sans second facteur est refusé, en le lui expliquant. - Ce qui ne sort jamais
- Le mot de passe, la session Nexus, les clés d’API, les projets et les espaces de travail de la personne.
Le prix
Inclus dans la formule Pro : quand l’espace du développeur est en Pro, aucun crédit n’est débité, quel que soit le nombre de personnes (un plafond technique de 100 000 personnes par mois et par application protège le service ; ce n’est pas un prix). Pour les autres formules : les 100 premières personnes connectées dans le mois, par application, sont gratuites. Ensuite, 1 crédit Nexus par tranche de 100 utilisateurs actifs du mois, débité à l’espace du développeur au moment où la tranche s’ouvre. Crédits épuisés : la connexion continue 7 jours, vous êtes alerté ; ensuite, les personnes déjà venues ce mois-ci entrent toujours, seules les nouvelles attendent la recharge.