Eine gehostete Anmeldung
Die Anmeldung läuft auf dem Noir-Origin, Passkey zuerst. Um Fallbacks, Rate Limits und Wiederherstellung kümmert sich Noir ID.
Sie schreiben keine Login-Seite, kein Passwort-Zurücksetzen und keine Passkey-Zeremonie.
Ein Konto.
Eine eigene Kennung für jede Website.
Noir ID ist als offene Beta auf id.noir.bzh verfügbar. Menschen melden sich mit einem Noir-Konto an. Jede verbundene Website erhält ihre eigene pseudonyme Kennung und führt ihr eigenes Kundenverzeichnis.
Noir-Konto
Kontoanker, wird nie an eine Website herausgegeben
Website A
Kennung
sub_a7f2…Verzeichnis von Website A
Website B
Kennung
sub_f91c…Verzeichnis von Website B
Was eine Website
bekommt
Drei Dinge, die ein Produkt nicht selbst bauen muss, und was jedes davon trotzdem Ihnen überlässt.
Ein Kennungsmodell
Jeder Client erhält eine paarweise pseudonyme Kennung, abgeleitet und stabil für genau diese eine Beziehung.
Sie müssen nicht festlegen, was eine Nutzerkennung produktübergreifend bedeutet.
Eine Verwaltungsoberfläche
Clients und ihre exakten Callbacks, mandantenbezogene Verzeichniseinträge, Einladungen und ein Audit-Log, das nur ergänzt wird.
Sie bauen keine Admin-Konsole, um Ihre eigenen Anwendungen zu registrieren.
Das Protokoll
- Standard
- OpenID Connect
- Flow
- Authorization Code mit PKCE (S256)
- Subject
- Paarweise, pro Client
- Anmeldung
- Gehostet auf dem Noir-Origin, Passkey zuerst
- Autorisierung
- Bleibt in Ihrem Produkt
Ehrliche Antworten
Können zwei Produkte herausfinden, dass ich dieselbe Person bin?
Nicht über die Kennung: Jedes Produkt erhält eine andere. Wenn aber beide auch Ihre E-Mail-Adresse erhalten, verbindet die E-Mail-Adresse die beiden. Deshalb werden die Angaben, die an jede Website freigegeben werden, auf ein Minimum beschränkt.
Was passiert mit meinem Produkt, wenn Noir ID ausfällt?
Bestehende Sitzungen laufen weiter, weil Ihr Produkt seine eigene Sitzung hält. Neue Anmeldungen schlagen fehl, bis Noir ID wieder erreichbar ist. Behandeln Sie eine fehlgeschlagene Anmeldung also als fehlgeschlagene Anmeldung, nicht als Ausfall.
Entscheidet Noir ID, was ein Nutzer in meinem Produkt darf?
Nein. Noir ID beantwortet, wer sich anmeldet und was für Sie freigegeben wurde. Rollen, Ressourcen und Entscheidungen bleiben in Ihrem Produkt.
Wie steige ich wieder aus?
Planen Sie das vor der Einführung: Prüfen Sie, ob die Management-API das Verzeichnis und jede Client-Zuordnung in einem Format exportiert, das Ihr Nachfolgesystem nutzen kann, und testen Sie die Übergabe, denn ein Export allein erzeugt womöglich keine identischen Kennungen.
Ist es produktionsreif?
Noch nicht: Noir ID befindet sich in der Beta. Die Konten sind echt und nutzen den Standard OpenID Connect, aber es gab noch kein externes Sicherheitsaudit, und während der Beta registrieren wir jede Website selbst. Prüfen Sie Callbacks, Claims, Fehlerpfade und Wiederherstellung in Ihrer eigenen Umgebung. Wir beanspruchen keine Zertifizierungen.