Why Spanish tools are often ignored by French teams?

[poka]

@vjrj

Is there some security issue in G1nkgo SSO auth I’m unaware of that prevents this from being displayed across the sites starting to support it?

No, none at all, since you prompted Claude to precisely replicate the documentation I set up for that purpose, which I publicly announced on the Duniter forum, as you point out, without any conspiracy. It’s not my responsibility to go knocking on the doors of every wallet developer to suggest they implement the latest protocol I’ve just proposed.

Because we all have a current life and family situation, childrens, ect

I think my approach is completely clear:

@poka

Le repo contient des docs utiles que j’ai fait traduire en français et en anglais pour que ce soit accessible.

Hormis le protocole en lui-même, l’une des docs qui devrait le plus vous intéresser est celle qui explique comment intégrer cette fonctionnalité dans votre app wallet Ğ1 via le schéma deeplink g1://sso-login : Making sure you're not a bot!

But in terms of intent, instead of continuing to copy what the lib durt2 does (I saw your commits, me), you could very well have started working on integrating it into G1kngo, and even contributed to it to meet G1kngo’s specific needs, provided feedback, and helped me.

That would have allowed us to

@vjrj

pushing to the same direction or goal in a respetful way and without cancelations.

And to work together, hand in hand, with joy, respect, and good cheer.

---

Once G1kgo has demonstrated that it addresses the security vulnerabilities that have been reported since the beginning, then we can consider including it among the various SSO tools.

But in any case, it already works, the links are in the g1// format, which isn’t specific to Gecko; it’s just a matter of updating the display.

And people which ask my by MP about anything, I answer without any problem, whether you’re French, Spanish, or Pakistani…

@fdrubigny

Est-ce que tu peux me confirmer les informations nécessaires et, une fois que nous aurons défini le callback, enregistrer le client ?

@poka

Salut,

C’est enregistré, le service tourne déjà avec ton client.

Garde ce secret dans la config serveur de Jiyūjin et nulle part ailleurs : il ne doit pas se retrouver sur un fil public, dans un dépôt git ou dans du code qui part au navigateur. Si jamais il fuite, dis-le moi, je t’en génère un autre.

https://jiyujin.g1.lu sert de lien « retour au site » sur la page d’approbation, et Jiyūjin est maintenant listé sur la page d’accueil de connect.monnaie-libre.fr.

Les trois endpoints :

autorisation : https://connect.monnaie-libre.fr/oauth/authorize
token        : https://connect.monnaie-libre.fr/oauth/token     (POST)
userinfo     : https://connect.monnaie-libre.fr/oauth/userinfo  (GET ou POST)

Quelques points à garder en tête côté backend :

La redirect_uri est comparée octet pour octet, à l’autorisation comme à l’étape token où tu dois répéter la même valeur. Aucun joker, aucune tolérance sur le slash final, https uniquement. Si tu veux aussi une URL de staging, donne-la moi et je l’ajoute à la même entrée.

Il n’y a pas de PKCE : l’authentification au token se fait avec le secret, en en-tête Authorization: Basic ou en champs de formulaire client_id et client_secret, les deux sont lus. Envoie un state aléatoire lié à la session du visiteur et vérifie-le au retour, c’est ta protection contre un callback forgé.

userinfo ne renvoie aucune adresse e-mail. Accroche le compte Jiyūjin sur le champ id (idty:<index>), qui survit à un changement de clé de portefeuille. username est le nom d’identité Ğ1, très bien pour l’affichage et comme pseudo par défaut, il ne constitue pas une clé de compte.

L’instance applique la politique « membres de la toile de confiance ». Un portefeuille sans identité membre est refusé après que l’utilisateur a approuvé dans son portefeuille, donc annonce-le sur ta page de connexion pour que personne ne le découvre à la dernière étape.

Les durées : le code d’autorisation vit 120 secondes et est détruit au premier usage, l’access token 300 secondes, et il n’y a pas de refresh token. La session qui suit est la tienne, à tes conditions.

Le reste des détails (erreurs, limites de débit, exemples) est dans docs/fr/SITE-INTEGRATION.md. Fais signe quand ton flux tourne, je testerai une connexion de mon côté.

Bon courage sur Jiyūjin.

@fdrubigny

Le système est en place !
Les premiers tests sont concluant, mais j’attends encore le retour des premiers utilisateurs membres certifiés…
Ensuite, je supprimerais la possibilité de se connecter via phrase mnémotechnique qui est une erreur de sécurité de ma part même si le serveur et le navigateur ne garde pas la phrase…

Tu peux tester la connexion sur Jiyūjin, petites annonces en Ğ1

Merci pour ce travail que tu as fais avec Ğ1 SSO, c’est le top !

@poka

Oui je me suis inscrit avec Gecko et ça fonctionne

Il faut juste que je change les wording sur l’écran qui s’affiche dans gecko pour ne plus préciser forum monnaie libre, mais récupérer le nom du service en question.

So many baseless accusations here…

---

@vjrj

And here we are discusing about small things (links, buttons, etc)

Reminder: YOU started this thread by immediately accusing the French of plotting against the Spanish. It wasn’t me, nor was it anyone else.
So it’s up to you to justify this approach, instead of simply opening up new issues or politely asking what the problem is if we see a communication issue, without making such accusations right off the bat.

So we need to stop shifting the burden of proof. I didn’t ask for anything in the first place, you’re the ones attacking. That seems pretty clear to me. I’m just defending myself, but I shouldn’t be the only one, given that you’re accusing the entire French community.

---

So please, start by apologizing for such accusations like a responsible person, admit that you were wrong about the intent, and then we can probably start over on a healthy footing.