Een app voor Inloggen met Congressus maak je zelf aan in Congressus Manager.
Ga naar Instellingen > Apps en klik bij OAuth2 op de knop OAuth2 app toevoegen.
Vul bij App een Naam en een Beschrijving in. Leden zien die als ze je app toestemming geven.
Vul bij Inloggen in:
Redirect-URI's: waar het lid na het inloggen naartoe gaat, één per regel en precies zoals je applicatie hem meestuurt. Een URI begint met https, met een eigen schema van je app (zoals
mijnapp://), of met http oplocalhost. De eerste wordt gebruikt als je applicatie er geen noemt.Clienttype: Vertrouwelijk voor een server die een geheim kan bewaren, of Openbaar voor een mobiele app of browser-app. Een openbare app krijgt geen client secret, moet PKCE gebruiken en krijgt geen refresh tokens.
Inlogstandaard: OpenID Connect voor een nieuwe app. Legacy is hoe apps van voor OpenID Connect inloggen. Het verschil lees je in Inloggen met Congressus via OpenID Connect.
Vul bij Instellingen in:
Access token geldigheid: hoeveel seconden een access token geldig is. Standaard 240.
Refresh token toestaan: je applicatie kan dan zelf een nieuw access token ophalen, zonder dat het lid opnieuw inlogt. Een openbare app krijgt nooit refresh tokens.
Allow silent grants: een lid dat je app eerder toestemming gaf voor dezelfde of meer scopes, hoeft niet opnieuw op Toestaan te klikken. Vraagt je app een scope die het lid nog niet gaf, dan vragen we het lid wel opnieuw.
Kies bij Toegang onder Maximum access scope welke scopes je app mag vragen. Een nieuwe app mag alleen
openid. Welke gegevens elke scope geeft, lees je in Welke scopes zijn er beschikbaar?Klik op OAuth app toevoegen.
Open daarna je app in de lijst. Bij Credentials staan:
Client ID: hiermee herkennen we je app.
Client secret: hiermee meldt de server van een vertrouwelijke app zich bij ons aan. Een openbare app heeft er geen.
Bij een app met OpenID Connect staan rechts per website de Issuer en de Discovery-URL.
Let op! Je client secret moet altijd geheim blijven. Zet hem nooit in een mobiele app of browser-app (javascript). Kies voor zo'n app het clienttype Openbaar.
Een app tijdelijk blokkeren
Vink bij Toegang Vergrendeld aan. Leden kunnen dan niet meer inloggen via je app, en al uitgegeven tokens werken niet meer tot je het vinkje weer uitzet.
Leden nooit om toestemming vragen
Moeten leden je app nooit toestemming hoeven geven, bijvoorbeeld omdat het een app van de vereniging zelf is? Dat zetten we alleen in uitzonderlijke gevallen aan, in overleg met Support.