Bonnes pratiques

Sécurité de l’intégration

• Authorization Code avec PKCE S256, state anti-CSRF et nonce OIDC.
• URI de callback exactes, sans wildcard ; les callbacks web de production doivent être HTTPS.
• Secrets uniquement côté serveur. Les apps Flutter sont des clients publics.
• Validez localement la signature RS256 avec le JWKS publié par Orcraft, puis issuer, audience et expiration.
• Les access tokens sont opaques, stockés sous forme hachée en base et expirent au bout de 15 minutes.
• La révocation du consentement invalide aussi les tokens correspondants.
• Ne journalisez ni authorization codes, ni access tokens, ni secrets.
• Les webhooks sont signés, idempotents et rejouables. Répondez en 2xx après enregistrement durable puis traitez de façon asynchrone côté application.

Le flux suit la recommandation de sécurité OAuth 2.0 actuelle (RFC 9700) et OpenID Connect Core 1.0.