Krav for at tilslutte din egen identitetsudbyder til kundekonti

For at kunne integrere med din Shopify-butik skal identitetsudbyderen opfylde følgende krav:

• Identitetsudbyderen understøtter OAuth 2.0-autorisationskodeflowet. Implicitte og hybride flows understøttes ikke. client_secret_basic er standardgodkendelsesmetoden for token-endpointet.
• Identitetsudbyderen understøtter Proof Key for Code Exchange (PKCE) for offentlige klienter.
• Identitetsudbyderen er kompatibel med OpenID Connect (OIDC)-standarden for godkendelse.
• Identitetsudbyderen understøtter OpenID Connect RP-Initiated Logout 1.0 til logud. Logud via back-channel og front-channel understøttes ikke.
• Identitetsudbyderen understøtter mail som den unikke identifikator for brugere, og mailbekræftelse er en del af registreringsprocessen.

Den identitetsudbyder, du tilslutter, skal understøtte specifikke endpoints. Gennemgå følgende tabel for at få mere at vide om de påkrævede endpoints, deres specifikationer og eksempler.

Påkrævede endpoints for identitetsudbyder

Påkrævet endpoint	Eksempel på domæne og sti	Specifikationer
Autorisation	https://auth.provider.com/authorize	RFC 6749, afsnit 4.1
Token	https://auth.provider.com/token	RFC 6749, afsnit 4.1.3 og RFC 6749, afsnit 6
JWKS	https://auth.provider.com/.well-known/jwks.json	RFC 7517, afsnit 5
Discovery	https://auth.provider.com/.well-known/openid-configuration	OpenID Discovery 1.0

Krav til svartid for endpoints

Anmodninger fra Shopify til din identitetsudbyders token-, discovery- og userinfo-endpoints skal besvares inden for 1 sekund. Hvis et endpoint bruger mere end 1 sekund på at svare, får anmodningen timeout, og loginflowet fejler. For at undgå timeouts skal du sørge for, at din identitetsudbyder hostes i et miljø med lav latenstid og tilstrækkelig kapacitet.

Hvis din butik har en mobilapp, skal identitetsudbyderens autorisations-endpoint understøtte følgende parametre:

• code_challenge: Bekræfter, at den klient, der anmoder om tokenet, er den samme klient, som startede anmodningen.
• code_challenge_method: Dette endpoint skal være angivet til S256.

Et id-token er et bevis på godkendelse, der udstedes af din identitetsudbyder, efter at en bruger er logget ind. Gennemgå følgende krav til claims og underskrivere for id-tokens.

Påkrævede claims

Claims er udsagn, som din identitetsudbyder deler om en bruger, og som bruges til godkendelse. Når du tilslutter kundekonti til din egen identitetsudbyder, er følgende claims påkrævede i opsætningen af id-tokenet:

• sub: En unik identifikator for brugeren i din identitetsudbyder.
• nonce: En unik streng, der er inkluderet i id-tokenet for at forhindre replay-angreb.
• email: Brugerens unikke mailadresse, der bruges til at klargøre kundekontoen. For integrationer med Entra ID og Azure AD bruges upn-claimet i stedet for email, og det skal pege på en gyldig mailadresse, der kan modtage kommunikation vedrørende ordrer og kunder.
• email_verified: En boolesk værdi, der angiver, om mailen er blevet bekræftet af identitetsudbyderen. Værdien for email_verified skal være true.
• iss: Udstederidentifikatoren for din identitetsudbyder.
• aud: Målgruppen, som id-tokenet er beregnet til, også kendt som dit klient-id.

Krav til token-signatur

Krav til underskrivere hjælper din identitetsudbyder med at bekræfte en brugers identitet under loginprocessen. Din identitetsudbyder skal underskrive id-tokens ved hjælp af en af følgende understøttede algoritmer:

• RSA: RS256, RS384, RS512
• Elliptisk kurve: ES256, ES384, ES512, ES256K
• RSA-PSS: PS256, PS384, PS512
• EdDSA: ED25519, EdDSA

Tokens, der er underskrevet med HS256 (HMAC med delt hemmelighed), understøttes ikke.

Shopify bruger opdateringstokens til at opretholde kundesessioner i op til 90 dage. Uden et opdateringstoken afsluttes sessioner, når adgangstokenet fra din identitetsudbyder udløber, hvilket typisk er 1 time.

For at understøtte langvarige kundesessioner skal din identitetsudbyder opfylde følgende krav:

• Identitetsudbyderen skal understøtte udstedelse af opdateringstokens som defineret i RFC 6749, afsnit 1.5.
• Identitetsudbyderen skal være konfigureret til at returnere opdateringstokens i token-svaret.

Hvis du vil vide mere om identitetsudbydere og krav, der er kompatible med OpenID Connect (OIDC), kan du gennemgå følgende tredjepartsressourcer:

• RFC 6749 – The OAuth 2.0 Authorization Framework
• RFC 7636 – Proof Key for Code Exchange by OAuth Public Clients
• OpenID Connect Core 1.0 incorporating errata set 2
• OpenID Connect Conformance Profiles v3.0
• How to Certify Your Implementation – OpenID Foundation