SuperTokens

Disponibilité des fonctionnalités

Fonctionnalité	Support
Gestion utilisateurs	✅ Complète
Organisations	✅ Via la multi-location (chaque tenant = une organisation)
Journaux d’audit	❌ Non supporté

Attention

SuperTokens n’expose pas d’API native pour les journaux d’audit. Utilisez une solution de journalisation externe (ex. journal d’audit de votre base de données ou une plateforme d’observabilité) si vous avez besoin de traces d’audit.

Configuration

1. Lancer le core SuperTokens

   Hébergez vous-même le core SuperTokens ou utilisez le cloud géré SuperTokens.

   Pour le développement local avec Docker :

   docker run -d \
     -p 3567:3567 \
     registry.supertokens.io/supertokens/supertokens-postgresql

   Notez l’URI de connexion (ex. http://localhost:3567) et, si vous en avez configuré une, la clé API dans votre config.yaml.

2. Configurer votre SDK backend SuperTokens

   AUMS se connecte directement au core SuperTokens via la CDI (Core Driver Interface). Votre SDK backend applicatif (Node.js, Python, etc.) doit déjà être initialisé avec les recettes EmailPassword et, optionnellement, EmailVerification, UserMetadata et Multitenancy activées.

   AUMS s’appuie sur ces recettes pour la gestion complète des utilisateurs :

   Recette	Usage dans AUMS
   EmailPassword	Créer et mettre à jour les utilisateurs (requis)
   EmailVerification	Marquer les emails comme vérifiés / non vérifiés
   UserMetadata	Stocker le nom d’affichage (prénom / nom)
   Multitenancy	Gérer les organisations comme des tenants SuperTokens

3. Définir les variables d’environnement

   PROVIDER=supertokens
   SUPERTOKENS_CONNECTION_URI=http://localhost:3567
   
   # Requis pour le cloud géré SuperTokens, optionnel pour l'auto-hébergement
   # SUPERTOKENS_API_KEY=your-api-key
   
   # Tenant utilisé pour les opérations utilisateurs (défaut : public)
   # SUPERTOKENS_TENANT_ID=public

Note

AUMS communique directement avec le core SuperTokens via la CDI. Le SUPERTOKENS_CONNECTION_URI doit être accessible depuis le processus serveur AUMS — ne l’exposez pas à Internet.

Organisations

La multi-location SuperTokens s’associe directement aux organisations AUMS : chaque tenant SuperTokens (autre que le tenant par défaut configuré par SUPERTOKENS_TENANT_ID) est traité comme une organisation.

Opération AUMS	Appel CDI SuperTokens
Lister les orgs	GET /recipe/multitenancy/tenant/list/v2
Créer une org	PUT /recipe/multitenancy/tenant (tenantId = slug du nom)
Supprimer une org	POST /recipe/multitenancy/tenant/remove
Lister les membres	GET /{tenantId}/users
Ajouter un membre	POST /recipe/multitenancy/tenant/user
Retirer un membre	DELETE /recipe/multitenancy/tenant/user

Attention

Les noms d’organisations sont convertis en identifiant de tenant compatible URL (minuscules, alphanumériques, tirets). Les identifiants de tenant sont immuables une fois créés — renommer une organisation dans AUMS ne modifie pas l’identifiant du tenant sous-jacent.

Note

Les invitations ne sont pas supportées. Ajoutez des utilisateurs via l’interface de gestion des utilisateurs AUMS, puis assignez-les à une organisation.

Notes sur la gestion des utilisateurs

• Mot de passe requis — AUMS crée les utilisateurs via la recette EmailPassword. Un mot de passe doit être fourni lors de la création d’un utilisateur.
• Nom d’affichage — Le prénom et le nom sont stockés dans la recette UserMetadata sous les clés first_name et last_name.
• Utilisateurs bloqués — SuperTokens n’a pas de concept natif de blocage/suspension. Le champ blocked retourne toujours false ; les opérations de blocage sont ignorées silencieusement.
• Vérification email — Requiert que la recette EmailVerification soit activée dans votre SDK backend SuperTokens.

Connexion OIDC (optionnel)

Pour protéger le tableau de bord AUMS avec le SSO SuperTokens, configurez un fournisseur OIDC qui encapsule votre déploiement SuperTokens (ex. via la recette OAuth2 provider) :

AUTH_CLIENT_OPENID_CONFIGURATION_URL=https://your-supertokens-app/.well-known/openid-configuration
AUTH_CLIENT_ID=your-oidc-client-id
AUTH_CLIENT_SECRET=your-oidc-client-secret