Sécurité et bonnes pratiques

À faire

• Gardez le client_secret sur votre serveur, dans un fichier de configuration non publié (jamais sur GitHub, jamais dans une application mobile ou du JavaScript).
• Vérifiez toujours le state au retour : c'est ce qui empêche quelqu'un de vous connecter à son compte à votre insu.
• Utilisez HTTPS partout, en particulier pour l'adresse de retour et le webhook.
• Identifiez les personnes par user.id, pas par le nom d'utilisateur (qui peut changer).
• Après la connexion, régénérez l'identifiant de votre session (session_regenerate_id(true) en PHP).
• Traitez le webhook compte_desactive (ou interrogez /api/utilisateur.php pour les applications officielles) : un compte désactivé ou banni par l'équipe doit perdre l'accès chez vous aussi.
• Secret perdu ou divulgué ? Prévenez le support : un nouveau secret remplace l'ancien immédiatement.

À ne pas faire

• Ne demandez jamais le mot de passe Kinda-e dans votre propre formulaire (sauf applications officielles via /api/verifier.php).
• N'ouvrez pas kinda-e.com dans une iframe : c'est bloqué, utilisez une redirection.
• N'utilisez pas prompt=none en boucle : une seule tentative, puis affichez le bouton.

Règles d'utilisation

En utilisant les comptes Kinda-e, vous vous engagez à n'utiliser les informations reçues que pour faire fonctionner votre service, à ne pas les revendre, et à supprimer les données d'une personne qui le demande. Une application qui ne respecte pas ces règles peut être désactivée par l'équipe de Kinda-e.

Signaler une faille

Vous avez trouvé un problème de sécurité ? Écrivez au support en décrivant le problème, sans le rendre public avant qu'il soit corrigé. Merci !