S'authentifier auprès d'un serveur backend

Si vous utilisez Google Sign-In avec une application ou un site qui communique avec un backend vous devrez peut-être identifier l'utilisateur actuellement connecté sur le serveur. Pour cela, une fois l'utilisateur connecté, envoyez son à votre serveur via HTTPS. Ensuite, sur le serveur, vérifiez l'intégrité du jeton d'ID et utiliser les informations utilisateur qu'il contient pour établir une session ou créez un nouveau compte.

Envoyer le jeton d'ID à votre serveur

Une fois qu'un utilisateur s'est connecté, obtenez son jeton d'ID:

function onSignIn(googleUser) {
  var id_token = googleUser.getAuthResponse().id_token;
  ...
}

Envoyez ensuite le jeton d'ID à votre serveur avec une requête HTTPS POST:

var xhr = new XMLHttpRequest();
xhr.open('POST', 'https://yourbackend.example.com/tokensignin');
xhr.setRequestHeader('Content-Type', 'application/x-www-form-urlencoded');
xhr.onload = function() {
  console.log('Signed in as: ' + xhr.responseText);
};
xhr.send('idtoken=' + id_token);

Vérifier l'intégrité du jeton d'ID

Après avoir reçu le jeton d'ID par la méthode HTTPS POST, vous devez vérifier l'intégrité. du jeton.

Pour vérifier que le jeton est valide, assurez-vous que les critères suivants sont remplis :

• Le jeton d'identité est correctement signé par Google. Utilisez les clés publiques de Google (disponibles au format JWK ou PEM) pour valider la signature du jeton. Ces clés sont régulièrement renouvelées. Examinez l'en-tête Cache-Control dans la réponse pour déterminer quand vous devez les récupérer à nouveau.
• La valeur de aud dans le jeton d'identité est égale à l'un des ID client de votre application. Cette vérification est nécessaire pour empêcher que des jetons d'identité émis pour une application malveillante ne soient utilisés pour accéder aux données du même utilisateur sur le serveur backend de votre application.
• La valeur de iss dans le jeton d'identité est égale à accounts.google.com ou https://accounts.google.com.
• Le délai d'expiration (exp) du jeton d'identité n'est pas encore écoulé.
• Si vous devez valider que le jeton d'identité représente un compte d'organisation Google Workspace ou Cloud Identity, vous pouvez vérifier la revendication hd, qui indique le domaine hébergé de l'utilisateur. Cette option doit être utilisée pour limiter l'accès à une ressource aux membres de certains domaines uniquement. L'absence de cette revendication indique que le compte n'appartient pas à un domaine hébergé par Google.

Les champs email, email_verified et hd vous permettent de déterminer si Google héberge une adresse e-mail et en est l'autorité. Dans les cas où Google fait autorité, l'utilisateur est connu comme étant le propriétaire légitime du compte. Vous pouvez donc ignorer le mot de passe ou d'autres méthodes de validation.

Cas où Google fait autorité :

• Si l'adresse e-mail de email se termine par @gmail.com, il s'agit d'un compte Gmail.
• Si email_verified est défini sur "true" et que hd est défini, il s'agit d'un compte Google Workspace.

Les utilisateurs peuvent s'inscrire à des comptes Google sans utiliser Gmail ni Google Workspace. Lorsque email ne contient pas de suffixe @gmail.com et que hd est absent, Google n'est pas une source fiable. Il est recommandé d'utiliser un mot de passe ou d'autres méthodes de validation pour vérifier l'identité de l'utilisateur. email_verified peut également être vrai, car Google a initialement validé l'utilisateur lors de la création du compte Google. Toutefois, la propriété du compte de messagerie tiers peut avoir changé depuis.

Plutôt que d'écrire votre propre code pour effectuer ces étapes de validation, nous vous recommandons vivement d'utiliser une bibliothèque cliente des API Google pour votre plate-forme ou une bibliothèque JWT à usage général. Pour le développement et le débogage, vous pouvez appeler notre point de terminaison de validation tokeninfo.

Utiliser une bibliothèque cliente des API Google

En utilisant l'une des bibliothèques clientes des API Google (par exemple, Java Node.js PHP Python). est la méthode recommandée pour valider les jetons d'ID Google dans un environnement de production.

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the WEB_CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(WEB_CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier. This ID is unique to each Google Account, making it suitable for
  // use as a primary key during account lookup. Email is not a good choice because it can be
  // changed by the user.
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

npm install google-auth-library --save

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: WEB_CLIENT_ID,  // Specify the WEB_CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  // This ID is unique to each Google Account, making it suitable for use as a primary key
  // during account lookup. Email is not a good choice because it can be changed by the user.
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

composer require google/apiclient

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $WEB_CLIENT_ID]);  // Specify the WEB_CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  // This ID is unique to each Google Account, making it suitable for use as a primary key
  // during account lookup. Email is not a good choice because it can be changed by the user.
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the WEB_CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), WEB_CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [WEB_CLIENT_ID_1, WEB_CLIENT_ID_2, WEB_CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    # This ID is unique to each Google Account, making it suitable for use as a primary key
    # during account lookup. Email is not a good choice because it can be changed by the user.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

Calling the tokeninfo endpoint

An easy way to validate an ID token signature for debugging is to use the tokeninfo endpoint. Calling this endpoint involves an additional network request that does most of the validation for you while you test proper validation and payload extraction in your own code. It is not suitable for use in production code as requests may be throttled or otherwise subject to intermittent errors.

To validate an ID token using the tokeninfo endpoint, make an HTTPS POST or GET request to the endpoint, and pass your ID token in the id_token parameter. For example, to validate the token "XYZ123", make the following GET request:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

If the token is properly signed and the iss and exp claims have the expected values, you will get a HTTP 200 response, where the body contains the JSON-formatted ID token claims. Here's an example response:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

If you need to validate that the ID token represents a Google Workspace account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google Workspace hosted domain.

Créer un compte ou une session

Après avoir vérifié le jeton, vérifiez si l'utilisateur fait déjà partie de votre compte utilisateur base de données. Si tel est le cas, établissez une session authentifiée pour l'utilisateur. Si l'utilisateur n'est pas encore dans votre base de données d'utilisateurs, créez un enregistrement d'utilisateur à partir des informations dans la charge utile du jeton d'ID et d'établir une session pour l'utilisateur. Vous pouvez inviter à l'utilisateur pour toute information de profil supplémentaire dont vous avez besoin lorsque vous détectez un utilisateur nouvellement créé dans votre application.

Protéger les données des utilisateurs avec la protection multicompte

Lorsque vous utilisez Google pour connecter un utilisateur, vous bénéficiez automatiquement de toutes les les fonctionnalités et l'infrastructure de sécurité conçues par Google pour protéger les données des utilisateurs. Toutefois, dans l'éventualité peu probable où le compte Google de l'utilisateur serait piraté ou événement de sécurité majeur, votre application peut également être vulnérable aux attaques. Pour mieux protéger votre des événements de sécurité majeurs, utilisez Cross-Account Protection pour recevoir des alertes de sécurité de la part de Google. Lorsque vous recevez ces événements, vous de gagner en visibilité sur les modifications importantes apportées à la sécurité du compte Google de l'utilisateur vous pouvez ensuite agir sur votre service pour sécuriser vos comptes.