OpenID Connect

Outcome: Complete the task with OpenID Connect (OpenID Connect). User context: Un portail RH trouve son émetteur d'entreprise, envoie `nonce` et `state`, et reçoit un jeton d'identification. Il vérifie la signature, l'émetteur, le public, la date d'expiration et le `nonce`. Ensuite, il utilise `sub` comme identifiant utilisateur stable. L'email n'est utilisé qu'à titre d'affichage. Les appels API utilisent toujours un jeton d'accès séparé. Technical concept or control: OpenID Connect (OpenID Connect). Why it fits: Utilisez-le pour la connexion partagée lorsqu'une application nécessite des revendications d'identité standard auprès d'un fournisseur OpenID. Do not use it when: N'acceptez jamais un jeton d'identité sans toutes les vérifications requises. Ne l'utilisez pas comme jeton d'accès API ni ne considérez les informations d'identité comme des permissions en elles-mêmes. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un document officiel peut quand même être un brouillon, un release candidate, ou la version finale. Vérifie son statut et sa compatibilité avec le navigateur ou la plateforme. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.