OpenID Connect

L’Identité Numérique La Poste repose sur le protocole OpenID Connect (OIDC).

Ce standard permet à un service partenaire de :

• déléguer l’authentification utilisateur
• récupérer des informations d’identité sécurisées
• s’appuyer sur un mécanisme standard du marché

Le partenaire ne gère pas l’authentification directement.

👉 Il redirige l’utilisateur vers LINLP, qui :

• authentifie l’utilisateur (2FA)
• collecte son consentement
• renvoie les informations demandées

Le flow standard est le suivant :

1. Appel du endpoint `/authorize`
2. Authentification utilisateur (mobile)
3. Redirection avec un code d’autorisation
4. Appel du endpoint `/token`
5. Récupération des tokens
6. Appel du endpoint `/userinfo`
7. Récupération des données utilisateur

Le partenaire redirige l’utilisateur vers LINLP.

Paramètres principaux :

• client_id
• redirect_uri
• response_type=code
• scope

Exemple :

GET /authorize?response_type=code
&client_id=XXX
&redirect_uri=https://monservice.fr/callback
&scope=openid+profile+email

👉 L’utilisateur est alors authentifié via son application mobile.

Après authentification :

• LINLP redirige vers `redirect_uri`
• un paramètre `code` est ajouté

Exemple :

https://monservice.fr/callback?code=ABC123

⚠️ Ce code est temporaire et à usage unique.

Le backend du partenaire échange le code contre des tokens.

POST /token

Paramètres :

• grant_type=authorization_code
• code
• redirect_uri

👉 Cette étape doit être faite côté backend.

LINLP retourne :

• access_token → accès aux APIs
• id_token → données utilisateur (JWT signé)

Le partenaire récupère les données utilisateur :

GET /userinfo
Authorization: Bearer access_token

👉 Les données retournées dépendent des scopes demandés.

Le id_token contient :

• les données d’identité
• des informations de session
• une signature garantissant l’intégrité

👉 Il doit être vérifié avec la clé publique LINLP.

Le access_token permet :

• d’appeler l’API `/userinfo`
• d’accéder aux données utilisateur

⚠️ Backend obligatoire Ne jamais exposer `client_secret` côté frontend.

⚠️ Pas d’iframe La page `/authorize` doit être appelée via redirection.

⚠️ Vérification des tokens Toujours vérifier la signature du JWT.

⚠️ Stockage sécurisé Les tokens doivent être stockés de manière sécurisée.

• LINLP utilise OpenID Connect
• Le flow principal est authorization_code
• Toute l’authentification est externalisée
• Les données sont récupérées via tokens sécurisés

👉 Implémenter le flow complet :

Flow Authorization Code