S'authentifier auprès d'un backend à l'aide de jetons d'identification

Le client de connexion One Tap récupère un jeton d'ID Google lorsque l'utilisateur sélectionne un compte Google. Un jeton d'ID est une assertion signée de l'identité d'un utilisateur qui contient également les informations de profil de base de l'utilisateur, y compris éventuellement une adresse e-mail validée par Google.

Lorsque des jetons d'ID sont disponibles, vous pouvez les utiliser pour vous authentifier de manière sécurisée auprès du backend de votre application ou pour inscrire automatiquement l'utilisateur à un nouveau compte sans avoir à valider son adresse e-mail.

Pour connecter ou inscrire un utilisateur avec un jeton d'ID, envoyez le jeton au backend de votre application. Sur le backend, vérifiez le jeton à l'aide d'une bibliothèque cliente des API Google ou d'une bibliothèque JWT à usage général. Si l'utilisateur ne s'est pas encore connecté à votre application avec ce compte Google, créez-en un autre.

Si vous avez éventuellement choisi d'utiliser un nonce pour éviter les attaques par rejeu, utilisez getNonce pour l'envoyer avec le jeton d'ID à votre serveur backend, puis vérifiez la valeur attendue. Nous vous recommandons vivement d'utiliser un nonce pour améliorer la sécurité des utilisateurs.

Obtenir un jeton d'ID à partir de l'objet credentials

Après avoir récupéré les identifiants d'un utilisateur, vérifiez si l'objet identifiants inclut un jeton d'ID. Si c'est le cas, envoyez-le à votre backend.

Java

public class YourActivity extends AppCompatActivity {

  // ...
  private static final int REQ_ONE_TAP = 2;  // Can be any integer unique to the Activity.
  private boolean showOneTapUI = true;
  // ...

  @Override
  protected void onActivityResult(int requestCode, int resultCode, @Nullable Intent data) {
      super.onActivityResult(requestCode, resultCode, data);

      switch (requestCode) {
          case REQ_ONE_TAP:
              try {
                  SignInCredential credential = oneTapClient.getSignInCredentialFromIntent(data);
                  String idToken = credential.getGoogleIdToken();
                  if (idToken !=  null) {
                      // Got an ID token from Google. Use it to authenticate
                      // with your backend.
                      Log.d(TAG, "Got ID token.");
                  }
              } catch (ApiException e) {
                  // ...
              }
              break;
      }
  }
}

Kotlin

class YourActivity : AppCompatActivity() {

    // ...
    private val REQ_ONE_TAP = 2  // Can be any integer unique to the Activity
    private var showOneTapUI = true
    // ...

    override fun onActivityResult(requestCode: Int, resultCode: Int, data: Intent?) {
        super.onActivityResult(requestCode, resultCode, data)

        when (requestCode) {
             REQ_ONE_TAP -> {
                try {
                    val credential = oneTapClient.getSignInCredentialFromIntent(data)
                    val idToken = credential.googleIdToken
                    when {
                        idToken != null -> {
                            // Got an ID token from Google. Use it to authenticate
                            // with your backend.
                            Log.d(TAG, "Got ID token.")
                        }
                        else -> {
                            // Shouldn't happen.
                            Log.d(TAG, "No ID token!")
                        }
                    }
                } catch (e: ApiException) {
                    // ...
            }
        }
    }
    // ...
}

Vérifier l'intégrité du jeton d'ID

Une fois le jeton d'ID reçu par HTTPS POST, vous devez vérifier son intégrité.

Pour vérifier que le jeton est valide, assurez-vous que les critères suivants sont remplis:

  • Le jeton d'ID est correctement signé par Google. Utilisez les clés publiques de Google (disponibles au format JWK ou PEM) pour vérifier la signature du jeton. Ces clés sont régulièrement alternées. Examinez l'en-tête Cache-Control dans la réponse pour déterminer quand vous devez les récupérer à nouveau.
  • La valeur de aud dans le jeton d'ID est égale à l'un des ID client de votre application. Cette vérification est nécessaire pour éviter que les jetons d'identification émis pour une application malveillante soient utilisés pour accéder aux données du même utilisateur sur le serveur backend de votre application.
  • La valeur de iss dans le jeton d'ID est égale à accounts.google.com ou https://accounts.google.com.
  • Le délai d'expiration (exp) du jeton d'ID n'a pas été dépassé.
  • Si vous devez vérifier que le jeton d'ID représente un compte d'organisation Google Workspace ou Cloud, vous pouvez vérifier la revendication hd, qui indique le domaine hébergé de l'utilisateur. Cette clé doit être utilisée lorsque vous restreignez l'accès à une ressource aux seuls membres de certains domaines. L'absence de cette revendication indique que le compte n'appartient pas à un domaine hébergé par Google.

Plutôt que d'écrire votre propre code pour effectuer ces étapes de validation, nous vous recommandons vivement d'utiliser une bibliothèque cliente de l'API Google pour votre plate-forme ou une bibliothèque JWT à usage général. Pour le développement et le débogage, vous pouvez appeler notre point de terminaison de validation tokeninfo.

Utiliser une bibliothèque cliente des API Google

Il est recommandé d'utiliser l'une des bibliothèques clientes des API Google (par exemple, Java, Node.js, PHP, Python) pour valider les jetons d'ID Google dans un environnement de production.

Java

Pour valider un jeton d'ID en Java, utilisez l'objet GoogleIdTokenVerifier. Exemple :

import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdToken.Payload;
import com.google.api.client.googleapis.auth.oauth2.GoogleIdTokenVerifier;

...

GoogleIdTokenVerifier verifier = new GoogleIdTokenVerifier.Builder(transport, jsonFactory)
    // Specify the CLIENT_ID of the app that accesses the backend:
    .setAudience(Collections.singletonList(CLIENT_ID))
    // Or, if multiple clients access the backend:
    //.setAudience(Arrays.asList(CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3))
    .build();

// (Receive idTokenString by HTTPS POST)

GoogleIdToken idToken = verifier.verify(idTokenString);
if (idToken != null) {
  Payload payload = idToken.getPayload();

  // Print user identifier
  String userId = payload.getSubject();
  System.out.println("User ID: " + userId);

  // Get profile information from payload
  String email = payload.getEmail();
  boolean emailVerified = Boolean.valueOf(payload.getEmailVerified());
  String name = (String) payload.get("name");
  String pictureUrl = (String) payload.get("picture");
  String locale = (String) payload.get("locale");
  String familyName = (String) payload.get("family_name");
  String givenName = (String) payload.get("given_name");

  // Use or store profile information
  // ...

} else {
  System.out.println("Invalid ID token.");
}

La méthode GoogleIdTokenVerifier.verify() vérifie la signature JWT, la revendication aud, la revendication iss et la revendication exp.

Pour confirmer que le jeton d'ID représente un compte d'organisation Google Workspace ou Cloud, vous pouvez valider la revendication hd en vérifiant le nom de domaine renvoyé par la méthode Payload.getHostedDomain(). Le domaine de la revendication email est insuffisant pour garantir que le compte est géré par un domaine ou une organisation.

Node.js

Pour valider un jeton d'ID en Node.js, utilisez la bibliothèque Google Auth pour Node.js. Installez la bibliothèque : 

npm install google-auth-library --save
. Appelez ensuite la fonction verifyIdToken(). Exemple :

const {OAuth2Client} = require('google-auth-library');
const client = new OAuth2Client();
async function verify() {
  const ticket = await client.verifyIdToken({
      idToken: token,
      audience: CLIENT_ID,  // Specify the CLIENT_ID of the app that accesses the backend
      // Or, if multiple clients access the backend:
      //[CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]
  });
  const payload = ticket.getPayload();
  const userid = payload['sub'];
  // If the request specified a Google Workspace domain:
  // const domain = payload['hd'];
}
verify().catch(console.error);

La fonction verifyIdToken vérifie la signature JWT, la revendication aud, la revendication exp et la revendication iss.

Si vous devez vérifier que le jeton d'ID représente un compte d'organisation Google Workspace ou Cloud, vous pouvez vérifier la revendication hd, qui indique le domaine hébergé de l'utilisateur. Cette clé doit être utilisée lorsque vous restreignez l'accès à une ressource aux seuls membres de certains domaines. L'absence de cette revendication indique que le compte n'appartient pas à un domaine hébergé par Google.

PHP

Pour valider un jeton d'ID en PHP, utilisez la bibliothèque cliente des API Google pour PHP. Installez la bibliothèque (par exemple, à l'aide de Composer) : 

composer require google/apiclient
, appelez ensuite la fonction verifyIdToken(). Exemple :

require_once 'vendor/autoload.php';

// Get $id_token via HTTPS POST.

$client = new Google_Client(['client_id' => $CLIENT_ID]);  // Specify the CLIENT_ID of the app that accesses the backend
$payload = $client->verifyIdToken($id_token);
if ($payload) {
  $userid = $payload['sub'];
  // If the request specified a Google Workspace domain
  //$domain = $payload['hd'];
} else {
  // Invalid ID token
}

La fonction verifyIdToken vérifie la signature JWT, la revendication aud, la revendication exp et la revendication iss.

Si vous devez vérifier que le jeton d'ID représente un compte d'organisation Google Workspace ou Cloud, vous pouvez vérifier la revendication hd, qui indique le domaine hébergé de l'utilisateur. Cette clé doit être utilisée lorsque vous restreignez l'accès à une ressource aux seuls membres de certains domaines. L'absence de cette revendication indique que le compte n'appartient pas à un domaine hébergé par Google.

Python

Pour valider un jeton d'ID en Python, utilisez la fonction verify_oauth2_token. Exemple :

from google.oauth2 import id_token
from google.auth.transport import requests

# (Receive token by HTTPS POST)
# ...

try:
    # Specify the CLIENT_ID of the app that accesses the backend:
    idinfo = id_token.verify_oauth2_token(token, requests.Request(), CLIENT_ID)

    # Or, if multiple clients access the backend server:
    # idinfo = id_token.verify_oauth2_token(token, requests.Request())
    # if idinfo['aud'] not in [CLIENT_ID_1, CLIENT_ID_2, CLIENT_ID_3]:
    #     raise ValueError('Could not verify audience.')

    # If the request specified a Google Workspace domain
    # if idinfo['hd'] != DOMAIN_NAME:
    #     raise ValueError('Wrong domain name.')

    # ID token is valid. Get the user's Google Account ID from the decoded token.
    userid = idinfo['sub']
except ValueError:
    # Invalid token
    pass

La fonction verify_oauth2_token vérifie la signature JWT, la revendication aud et la revendication exp. Vous devez également vérifier la revendication hd (le cas échéant) en examinant l'objet renvoyé par verify_oauth2_token. Si plusieurs clients accèdent au serveur backend, validez également manuellement la revendication aud.

Calling the tokeninfo endpoint

An easy way to validate an ID token signature for debugging is to use the tokeninfo endpoint. Calling this endpoint involves an additional network request that does most of the validation for you while you test proper validation and payload extraction in your own code. It is not suitable for use in production code as requests may be throttled or otherwise subject to intermittent errors.

To validate an ID token using the tokeninfo endpoint, make an HTTPS POST or GET request to the endpoint, and pass your ID token in the id_token parameter. For example, to validate the token "XYZ123", make the following GET request:

https://oauth2.googleapis.com/tokeninfo?id_token=XYZ123

If the token is properly signed and the iss and exp claims have the expected values, you will get a HTTP 200 response, where the body contains the JSON-formatted ID token claims. Here's an example response:

{
 // These six fields are included in all Google ID Tokens.
 "iss": "https://accounts.google.com",
 "sub": "110169484474386276334",
 "azp": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "aud": "1008719970978-hb24n2dstb40o45d4feuo2ukqmcc6381.apps.googleusercontent.com",
 "iat": "1433978353",
 "exp": "1433981953",

 // These seven fields are only included when the user has granted the "profile" and
 // "email" OAuth scopes to the application.
 "email": "testuser@gmail.com",
 "email_verified": "true",
 "name" : "Test User",
 "picture": "https://lh4.googleusercontent.com/-kYgzyAWpZzJ/ABCDEFGHI/AAAJKLMNOP/tIXL9Ir44LE/s99-c/photo.jpg",
 "given_name": "Test",
 "family_name": "User",
 "locale": "en"
}

If you need to validate that the ID token represents a Google Workspace account, you can check the hd claim, which indicates the hosted domain of the user. This must be used when restricting access to a resource to only members of certain domains. The absence of this claim indicates that the account does not belong to a Google Workspace hosted domain.

Créer un compte ou une session

Après avoir vérifié le jeton, vérifiez si l'utilisateur figure déjà dans votre base de données d'utilisateurs. Le cas échéant, établissez une session authentifiée pour l'utilisateur. Si l'utilisateur ne figure pas encore dans votre base de données utilisateur, créez un enregistrement d'utilisateur à partir des informations de la charge utile du jeton d'ID, puis établissez une session pour l'utilisateur. Vous pouvez demander à l'utilisateur toute information de profil supplémentaire dont vous avez besoin lorsque vous détectez un nouvel utilisateur dans votre application.

Sécuriser les comptes de vos utilisateurs avec la protection multicompte

Lorsque vous utilisez Google pour connecter un utilisateur, vous bénéficiez automatiquement de l'ensemble des fonctionnalités et de l'infrastructure de sécurité que Google a créées pour protéger les données de cet utilisateur. Toutefois, dans le cas peu probable où le compte Google de l'utilisateur serait compromis ou dans le cas où un autre événement de sécurité important se produirait, votre application pourrait également être vulnérable à une attaque. Pour mieux protéger vos comptes contre les événements de sécurité majeurs, utilisez la protection multicompte afin de recevoir des alertes de sécurité de la part de Google. Lorsque vous recevez ces événements, vous gagnez en visibilité sur les modifications importantes apportées à la sécurité du compte Google de l'utilisateur. Vous pouvez ensuite prendre des mesures sur votre service pour sécuriser vos comptes.