Guida passo passo all'accesso con Google e Apple

Questa guida è per l'amministratore di un account white-label. Vi mostra cosa creare presso Google e presso Apple perché i vostri clienti possano usare Continua con Google e Continua con Apple sul vostro dominio. Ogni parte si fa una sola volta. Passate a Google o ad Apple qui sotto e concludete in Impostazioni > Accesso sul vostro dominio.

Entrambi i fornitori vogliono da voi due indirizzi. Impostazioni > Accesso sul vostro dominio li mostra per il vostro dominio, ciascuno con un pulsante di copia: copiateli sempre da lì e incollateli, non digitateli mai, perché basta un solo carattere sbagliato perché il fornitore rifiuti l'accesso. Hanno questa forma, solo per orientarvi:

• JavaScript origin: il vostro dominio con https davanti e nulla dopo (nessun percorso, nessuna barra finale)
• Indirizzo di ritorno Google (redirect URI): <your domain>/gorouter/ai/wl/oauth/google/callback
• Indirizzo di ritorno Apple (Return URL): <your domain>/gorouter/ai/wl/oauth/apple/callback

Google e Apple ogni tanto rinominano i loro menu. Se un'etichetta qui sotto non è esattamente quella che vedete, cercate la più vicina: i passaggi restano gli stessi.

Google#

Serve un account Google che controllate voi. L'accesso di base usato qui chiede solo nome, indirizzo email e foto del profilo del cliente (gli scope openid, email e profile), e nient'altro.

1. Accedere e scegliere un progetto#

1. Aprite la Google Cloud Console (console.cloud.google.com) e accedete con il vostro account Google.
2. Nel selettore dei progetti nella barra in alto scegliete un progetto, oppure cliccate New project, dategli un nome e createlo. Verificate che sia quello selezionato prima di continuare.

2. Impostare la schermata di consenso#

È la schermata che Google mostra ai vostri clienti. Si trova in Google Auth Platform.

1. Aprite Google Auth Platform e cliccate Get started.
2. App information: inserite il nome dell'app che i vostri clienti riconosceranno (il vostro marchio, non il nostro) e un indirizzo email di assistenza.
3. Audience: scegliete External. Internal fa accedere solo gli account della vostra organizzazione Google Workspace, il che non va bene per i clienti.
4. Contact information: inserite un indirizzo email a cui Google può scrivervi sul progetto.
5. Accettate la policy sui dati degli utenti e cliccate Create.

3. Aggiungere utenti di prova o pubblicare l'app#

Una nuova app parte in stato Testing. In questo stato Google limita l'accesso agli indirizzi che elencate, al massimo 100.

• Per elencarli aprite Audience, trovate Test users e aggiungete ogni indirizzo Google che accederà. Fatelo per voi stessi e per chiunque provi l'accesso prima della pubblicazione.
• Perché ogni cliente possa accedere, pubblicate l'app: in Audience portate lo stato di pubblicazione da Testing a In production con il pulsante di pubblicazione. Poiché questo accesso usa solo gli scope di base openid, email e profile, Google non richiede una revisione dei vostri scope e non mostra ai clienti l'avviso di «app non verificata». Google può comunque chiedervi di verificare il marchio prima di mostrare nome e logo dell'app nella schermata di consenso: il Verification Center in Google Auth Platform ve lo segnala.

4. Creare il client#

1. In Google Auth Platform aprite Clients e cliccate Create client.
2. Come Application type scegliete Web application e dategli un nome.
3. In Authorized JavaScript origins cliccate Add URI e incollate il JavaScript origin copiato da Impostazioni > Accesso sul vostro dominio.
4. In Authorized redirect URIs cliccate Add URI e incollate l'indirizzo di ritorno Google copiato dallo stesso posto.
5. Cliccate Create.

5. Copiare Client ID e Client secret#

Google mostra ora il Client ID e il Client secret. Copiateli subito entrambi. Per un nuovo client Google mostra il secret solo in questo momento e poi ne conserva soltanto gli ultimi quattro caratteri. Se lo perdete, create un nuovo secret dalla pagina del client.

6. Concludere nelle impostazioni#

In Impostazioni > Accesso sul vostro dominio incollate Client ID e Client secret nella sezione Google, attivate Google e salvate.

Se Google rifiuta#

• La console non accetta l'indirizzo di ritorno a causa del dominio: aprite Branding, trovate Authorized domains e aggiungete il vostro dominio, poi aggiungete di nuovo l'indirizzo.
• redirect_uri_mismatch subito dopo aver creato il client: Google può impiegare da pochi minuti a diverse ore per applicare una modifica. Attendete e riprovate. Se persiste, confrontate carattere per carattere l'indirizzo nel client con quello nelle impostazioni.
• L'accesso è bloccato solo per una persona: se l'app è ancora in Testing, aggiungete il suo indirizzo in Test users, oppure pubblicate l'app.

Apple#

Serve un'adesione a pagamento all'Apple Developer Program: senza, Apple non vi lascia creare questi elementi. Tutti i passaggi qui sotto si fanno nel vostro account Apple Developer (developer.apple.com/account), in Certificates, Identifiers & Profiles.

1. Un App ID con Sign in with Apple#

Apple lega un sito web a un App ID. Se il vostro account ha già un App ID con Sign in with Apple attivo, usatelo e passate al passaggio successivo. Altrimenti:

1. Aprite Identifiers e cliccate il pulsante di aggiunta (+).
2. Scegliete App IDs, poi il tipo App, e continuate.
3. Inserite una descrizione e un bundle ID a vostra scelta, per esempio nella forma com.yourcompany.signin.
4. Nell'elenco delle capabilities spuntate Sign in with Apple, poi continuate e registrate.

2. Creare il Services ID#

1. In Identifiers cliccate il pulsante di aggiunta (+), scegliete Services IDs e continuate.
2. Inserite una descrizione e un identificatore a vostra scelta, per esempio com.yourcompany.signin.web. Questo identificatore è il vostro Services ID: annotatelo.
3. Continuate e registrate, poi aprite il nuovo Services ID dall'elenco.
4. Spuntate Sign in with Apple e cliccate Configure.
5. Come Primary App ID scegliete l'App ID del passaggio precedente.
6. Negli URL del sito web aggiungete il vostro dominio in Domains and Subdomains, senza il prefisso https, per esempio app.yourcompany.com.
7. In Return URLs incollate l'indirizzo di ritorno Apple copiato da Impostazioni > Accesso sul vostro dominio.
8. Cliccate Done, poi Continue, poi Save.

3. Creare la chiave#

1. Aprite Keys e cliccate il pulsante di aggiunta (+).
2. Inserite un nome per la chiave, spuntate Sign in with Apple e cliccate Configure accanto.
3. Scegliete lo stesso primary App ID e salvate.
4. Continuate e registrate la chiave.
5. Cliccate Download e conservate il file, che termina in .p8. Apple vi lascia scaricarlo una sola volta. Un primary App ID può avere al massimo due chiavi.
6. Annotate il Key ID mostrato per la chiave.

4. Trovare il Team ID#

Aprite Membership details nel vostro account sviluppatore. Il Team ID, di dieci caratteri, è indicato lì.

5. Concludere nelle impostazioni#

In Impostazioni > Accesso sul vostro dominio inserite nella sezione Apple il Services ID, il Team ID e il Key ID, caricate il file .p8, attivate Apple e salvate.

Buono a sapersi#

• Apple comunica il nome di un cliente solo al primo accesso, non più dopo.
• Un cliente può scegliere di nascondere la sua email. Apple fornisce allora un indirizzo di inoltro privato, che inoltra a quello vero.
• Perché le vostre email arrivino a questi indirizzi di inoltro, registrate il dominio o l'indirizzo da cui inviate in Sign in with Apple for Email Communication: in Certificates, Identifiers & Profiles aprite Services, cliccate Configure accanto e aggiungetelo in Email Sources. Pubblicate anche un record SPF per quel dominio, come richiede Apple.
• Se Apple rifiuta l'accesso, controllate che il dominio e l'indirizzo di ritorno nel Services ID siano esattamente quelli mostrati nelle impostazioni e che la chiave non sia stata revocata.

Quando avete finito#

Attivate un metodo solo dopo aver compilato i suoi campi, poi salvate. Provatelo in una finestra del browser privata sul vostro dominio. La panoramica breve della funzione è nell'articolo Accesso sul vostro dominio con Google, Apple o un codice via email.