Check-list de mise en ligne

Parcourez cette liste avant de basculer votre application en production. Chaque point renvoie à la page qui le détaille.

Compte et application#

• ] Organisation vérifiée par pismile — [Sandbox et production

• [ ] Domaines de votre site vérifiés dans la console

• [ ] Application de production créée, distincte de l'application sandbox

• [ ] Adresses de redirection et après déconnexion en https, sur vos domaines vérifiés

• ] Seuls les scopes nécessaires sont demandés — [Scopes et claims

• ] Plan adapté à votre volume de connexions — [Tarifs

Configuration#

• [ ] client_id de production en place, secret de production dans une variable d'environnement

• [ ] Secret de production jamais utilisé en local ni partagé

• [ ] Adresses lues depuis https://pismile.com/.well-known/openid-configuration, pas écrites en dur

• [ ] Secret envoyé en client_secret_basic

Code#

• ] PKCE, state et nonce activés — [Bonnes pratiques de sécurité

• [ ] Utilisateurs identifiés par sub, jamais par leur nom

• [ ] Session régénérée après la connexion, cookies Secure, HttpOnly et SameSite=Lax

• ] auth_time vérifié avant les actions sensibles — [Forcer une nouvelle vérification

• ] Toutes les erreurs de retour (access_denied, invalid_scope…) affichent un message clair — [Erreurs

• ] Déconnexion de pismile proposée si nécessaire — [Endpoints et paramètres

• [ ] Aucun secret ni jeton dans les journaux

Test final en production#

1. Connexion d'un vrai utilisateur

   Connectez-vous avec votre propre alias : la demande arrive dans votre application bancaire, vous la confirmez, puis vous revenez connecté.

2. Reconnexion

   Déconnectez-vous de votre site, puis reconnectez-vous : vous retrouvez le même compte (même sub).

3. Refus

   Recommencez et refusez le consentement : votre site affiche un message clair, sans erreur technique.

4. Action sensible

   Déclenchez une action protégée par max_age : une nouvelle confirmation est demandée.