Flux d'Identifiants Client OAuth 2.0 pour l'API Didit en Python (FR)

Accès API SécuriséL'implémentation du flux d'identifiants client OAuth 2.0 est essentielle pour sécuriser la communication de serveur à serveur avec l'API Didit, protégeant ainsi les données sensibles de vérification d'identité.

Guide d'Implémentation PythonCet article fournit un guide Python étape par étape, incluant des exemples de code, pour obtenir et rafraîchir les jetons d'accès pour les appels à l'API Didit.

Comprendre la Limitation de DébitDécouvrez comment les politiques de limitation de débit de Didit protègent la stabilité de l'API et comment implémenter les meilleures pratiques comme le "exponential backoff" pour éviter les interruptions de service.

Approche "Developer-First" de DiditDidit offre une expérience véritablement "developer-first" avec une inscription programmatique, des API claires et une documentation complète, rendant l'intégration simple et efficace.

Comprendre le flux d'identifiants client OAuth 2.0 pour l'accès API

Dans le monde des intégrations API, la sécurité est primordiale. Lorsque votre application doit accéder directement à l'API d'un service, sans intervention de l'utilisateur, le flux d'identifiants client OAuth 2.0 est la méthode standard de l'industrie pour une authentification sécurisée. Ce flux est idéal pour les interactions de serveur à serveur, les services d'arrière-plan ou la communication de machine à machine où il n'y a pas d'utilisateur final pour consentir à l'accès aux données. Au lieu de cela, l'application elle-même est authentifiée à l'aide de ses propres identifiants.

Pour une plateforme de vérification d'identité robuste comme Didit, la sécurisation de l'accès à l'API est non négociable. Le flux d'identifiants client garantit que seules les applications autorisées peuvent interagir avec la puissante suite de services d'identité de Didit, tels que la vérification d'identité, la détection de vivacité passive et active, et le contrôle AML. Cette méthode implique l'échange d'un ID client et d'un secret client (ou clé API) contre un jeton d'accès de courte durée, qui est ensuite utilisé pour autoriser les requêtes API ultérieures. Cette séparation des préoccupations renforce la sécurité en empêchant l'exposition directe d'identifiants de longue durée dans chaque appel API.

Démarrer avec Didit : Inscription et récupération des identifiants

Didit se targue d'être une plateforme d'identité "AI-native" et "developer-first". Cela signifie que la prise en main est conçue pour être aussi fluide que possible, même pour l'accès programmatique. Contrairement à de nombreuses plateformes qui nécessitent une inscription manuelle via un navigateur, Didit vous permet de vous inscrire et de récupérer vos identifiants en seulement deux appels API.

Tout d'abord, vous initiez le processus d'inscription, généralement en fournissant une adresse e-mail. Didit envoie alors un OTP (mot de passe à usage unique) à cette adresse e-mail. La deuxième étape consiste à vérifier cet e-mail avec le code OTP. Une fois la vérification réussie, Didit crée automatiquement une organisation et une application par défaut pour vous, renvoyant vos jetons d'accès, votre ID client et, surtout, votre api_key. Cette api_key sert de secret client pour le flux d'identifiants client et doit être traitée avec la plus grande confidentialité.

Alternativement, si vous avez déjà une organisation et une application, vous pouvez récupérer vos identifiants directement en utilisant l'API d'authentification Didit. Par exemple, une requête GET vers /organizations/me/{org_id}/applications/{app_id}/ renverra l'client_id et l'api_key de votre application. Cela simplifie le processus de configuration, permettant aux développeurs d'intégrer rapidement et de commencer à tirer parti des "primitives" d'identité modulaires de Didit.

Implémentation du flux d'identifiants client OAuth 2.0 en Python

Passons maintenant à l'implémentation pratique de l'obtention d'un jeton d'accès à l'aide de Python. L'idée principale est d'envoyer une requête POST au point de terminaison de jetons de Didit, en fournissant votre ID client et votre clé API. La réponse contiendra votre jeton d'accès et son heure d'expiration.

import requests
import os

# Remplacez par votre client_id et api_key réels
CLIENT_ID = os.environ.get("DIDIT_CLIENT_ID")
API_KEY = os.environ.get("DIDIT_API_KEY") # C'est votre client_secret

TOKEN_URL = "https://apx.didit.me/auth/v2/oauth2/token"

def get_access_token():
    headers = {
        "Content-Type": "application/x-www-form-urlencoded"
    }
    data = {
        "grant_type": "client_credentials",
        "client_id": CLIENT_ID,
        "client_secret": API_KEY
    }

    try:
        response = requests.post(TOKEN_URL, headers=headers, data=data)
        response.raise_for_status() # Lève une exception pour les erreurs HTTP
        token_data = response.json()
        return token_data.get("access_token"), token_data.get("expires_in")
    except requests.exceptions.RequestException as e:
        print(f"Erreur lors de l'obtention du jeton d'accès : {e}")
        return None, None

access_token, expires_in = get_access_token()

if access_token:
    print(f"Jeton d'accès obtenu avec succès : {access_token[:30]}...")
    print(f"Le jeton expire dans : {expires_in} secondes")

    # Exemple d'utilisation du jeton d'accès pour un appel API ultérieur
    # (remplacez par un point de terminaison et une méthode API Didit réels)
    # API_ENDPOINT = "https://apx.didit.me/api/v2/some-didit-service"
    # auth_headers = {
    #     "Authorization": f"Bearer {access_token}"
    # }
    # try:
    #     api_response = requests.get(API_ENDPOINT, headers=auth_headers)
    #     api_response.raise_for_status()
    #     print("Appel API réussi :", api_response.json())
    # except requests.exceptions.RequestException as e:
    #     print(f"Erreur lors de l'appel API : {e}")

Cet extrait Python démontre comment effectuer la requête POST nécessaire. N'oubliez pas de stocker votre CLIENT_ID et votre API_KEY en toute sécurité, idéalement en utilisant des variables d'environnement, comme indiqué dans l'exemple.

Gestion des jetons et considérations sur la limitation de débit

Les jetons d'accès sont généralement de courte durée pour des raisons de sécurité. Il est crucial de mettre en œuvre une stratégie pour rafraîchir les jetons avant qu'ils n'expirent. Cela implique généralement de stocker le jeton et son heure d'expiration, puis de demander un nouveau jeton lorsque le jeton actuel approche de son expiration. Le champ expires_in de Didit dans la réponse du jeton vous indique exactement combien de temps le jeton est valide, vous permettant de créer une logique de rafraîchissement robuste.

Un autre aspect critique de l'intégration API est la compréhension et le respect des limites de débit. Didit, comme toute API bien conçue, applique des limites de débit pour maintenir la stabilité et garantir une utilisation équitable. Par exemple, Didit autorise généralement 300 requêtes par minute par application pour les points de terminaison GET et Write/Delete. Pour les opérations à fort impact, telles que la création de session (POST /v2/session/), il peut y avoir des limites spécifiques plus restrictives (par exemple, 600 rpm pour les workflows). Lorsque votre application dépasse ces limites, Didit renverra un code d'état HTTP 429 Too Many Requests, accompagné d'en-têtes utiles tels que X-RateLimit-Limit, X-RateLimit-Remaining et X-RateLimit-Reset (secondes epoch) pour guider votre stratégie de limitation. L'en-tête Retry-After est particulièrement utile pour implémenter le "exponential backoff", une stratégie recommandée pour gérer gracieusement les dépassements de limites de débit.

L'implémentation d'une gestion appropriée des jetons et le respect des limites de débit garantissent que votre intégration avec Didit est à la fois sécurisée et fiable, évitant les interruptions de service inutiles.

Comment Didit vous aide

Didit simplifie les défis complexes de vérification d'identité avec sa plateforme "AI-native" et "developer-first". Notre architecture modulaire vous permet de "plug-and-play" les vérifications d'identité exactes dont vous avez besoin, de la vérification d'identité complète (y compris OCR, MRZ et codes-barres) et de la détection avancée de vivacité passive et active pour prévenir les "deepfakes", à la correspondance faciale 1:1 et à la recherche faciale pour l'authentification biométrique, et au contrôle et à la surveillance AML robustes pour la conformité. Nos produits de preuve d'adresse, d'estimation de l'âge (respectueuse de la vie privée) et de vérification de téléphone et d'e-mail améliorent encore votre capacité à créer des workflows de vérification personnalisés.

Didit se distingue en offrant le KYC Core Gratuit, éliminant les frais d'installation, et en fournissant une console d'affaires puissante sans code, ainsi que des API claires pour les développeurs. Cette flexibilité signifie que vous pouvez intégrer Didit à vos systèmes existants en toute simplicité, que vous préfériez le développement axé sur les API ou un constructeur de workflow visuel. Notre engagement envers des données d'identité structurées et une conception globale garantit que vos processus de vérification sont efficaces, évolutifs et conformes dans le monde entier. L'inscription programmatique et la récupération des identifiants, comme souligné dans cet article, ne sont qu'un exemple de la façon dont Didit priorise une expérience développeur fluide, vous permettant de vous concentrer sur la création plutôt que de naviguer dans des obstacles d'authentification complexes.

Prêt à commencer ?

Prêt à voir Didit en action ? Obtenez une démo gratuite dès aujourd'hui.

Commencez à vérifier les identités gratuitement avec le niveau gratuit de Didit.