Compte Lumaka : un seul compte pour tous nos produits

Pourquoi un compte unique ?

Nos utilisateurs passent d’un produit à l’autre : ils paient une vidange Baak avec LumakaPay, puis consultent Dopaho. Leur demander un compte par service aurait multiplié les mots de passe et les risques. Compte Lumaka centralise l’identité, et chaque produit lui délègue la connexion.

Des jetons opaques plutôt que des JWT

Un jeton opaque ne contient aucune information lisible : c’est une simple référence. Pour savoir à qui il appartient, un service interroge Compte Lumaka selon la norme d’introspection OAuth 2.0 (RFC 7662). Révoquer un accès devient immédiat : le jeton cesse d’être valide partout à la fois.

POST /oauth/introspect
Content-Type: application/x-www-form-urlencoded

token=<jeton opaque>

HTTP/1.1 200 OK
{ "active": true, "sub": "<id utilisateur>", "exp": <horodatage> }

Le parcours de connexion

1. L’utilisateur clique sur « Se connecter avec Compte Lumaka ».
2. Il s’authentifie sur Compte Lumaka, jamais sur le produit lui-même.
3. Il revient sur le produit avec un jeton.
4. Le produit vérifie ce jeton auprès de Compte Lumaka.