Utiliser OAuth avec des comptes Standard contrôlés par votre plateforme

Pour démarrer votre intégration, rendez-vous sur les paramètres de votre plateforme, puis :

• Activez l’inscription des comptes avec OAuth dans les paramètres d’OAuth.
• Copiez votre client_id, un identifiant généré par Stripe, unique pour votre plateforme.
• Définissez votre redirect_uri, l’URL vers laquelle votre utilisateur sera redirigé une fois connecté à son compte. Vous devez indiquer toutes les URL de redirection dans les paramètres de votre plateforme. Si vous n’intégrez pas le paramètre redirect_uri dans votre requête, Stripe utilise par défaut la première adresse configurée dans les paramètres de votre plateforme.

Stripe propose également un client_id de développement pour faciliter les tests.

Une fois ces paramètres définis, vous pouvez créer le lien OAuth. Nous vous recommandons d’afficher un bouton Connexion avec Stripe dont le rôle sera de diriger les utilisateurs vers l’endpoint authorize_url :

https://connect.stripe.com/oauth/authorize?response_type=code&client_id=ca_FkyHCg7X8mlvCUdMDao4mMxagUfhIwXb&scope=read_write

L’endpoint Stripe doit recevoir au moins les trois paramètres suivants :

• response_type, avec une valeur de code
• Votre client_id
• scope, avec une valeur de read_write

Le paramètre scope définit ce que votre plateforme peut effectuer au nom du compte connecté, read_only étant la valeur par défaut.

Ajoutez le paramètre state avec un token unique comme valeur afin d’éviter toute attaque CSRF. Nous inclurons le state fourni lorsque nous redirigerons l’utilisateur vers votre site. Votre site doit confirmer que le paramètre state n’a pas été modifié.

Voici comment l’URL ci-dessus peut s’afficher pour votre utilisateur lorsqu’il souhaite démarrer la connexion en cliquant sur notre bouton Connexion à Stripe :

Personnaliser l’inscription avec les paramètres OAuth

Vous pouvez modifier le comportement du flux d’inscription en intégrant des paramètres d’URL supplémentaires dans votre lien OAuth. La liste complète des paramètres disponibles est accessible dans la documentation relative à OAuth.

Une fois que l’utilisateur a cliqué sur le lien de votre site, il est redirigé vers le site Web de Stripe. Il lui sera alors demandé d’accepter ou de refuser la connexion à votre plateforme.

Le processus de création d’un compte Stripe est intégré à notre flux d’autorisation. Il n’est pas nécessaire de vous demander si vos utilisateurs possèdent déjà un compte ou non.

L’utilisateur est connecté et peut sélectionner un compte pour se connecter directement à votre plateforme.

L’utilisateur doit créer un compte.

Une fois que l’utilisateur a connecté son nouveau compte ou son compte existant à votre plateforme, il est redirigé vers votre site, à l’URL définie comme valeur redirect_uri pour votre plateforme.

Pour les connexions réussies, les valeurs suivantes sont transmises dans l’URL :

• Le paramètre scope accordé
• La valeur state, le cas échéant
• Un code d’autorisation. Le code d’autorisation est un code éphémère et ne peut être utilisé qu’une seule fois, dans la requête POST décrite à l’étape suivante.

https://connect.stripe.com/connect/default/oauth/test?scope=read_write&code={AUTHORIZATION_CODE}

Si l’utilisateur refuse l’autorisation, il est redirigé vers votre site, mais l’URL comprend une erreur au lieu d’un code d’autorisation :

https://connect.stripe.com/connect/default/oauth/test?error=access_denied&error_description=The%20user%20denied%20your%20request

Intégrez le code d’autorisation fourni dans une requête POST à l’endpoint de token de Stripe pour finaliser la connexion et récupérer l’ID de compte de l’utilisateur :

curl https://connect.stripe.com/oauth/token \
  -u 
sk_test_4eC39HqLyjWDarjtT1zdp7dc
: \
  -d "code"="ac_123456789" \
  -d "grant_type"="authorization_code"

Notez que la requête sera effectuée avec votre clé secrète d’API de test ou de production, selon que vous souhaitez obtenir un token d’accès de test ou de production.

Stripe renvoie une réponse incluant l’ID de compte (stripe_user_id) de l’utilisateur :

{
  "token_type": "bearer",
  "scope": "read_write",
  "livemode": false,
  "stripe_user_id": 
"{{CONNECTED_ACCOUNT_ID}}",
}

Lorsqu’un problème survient, nous renvoyons plutôt une erreur :

{
  "error": "invalid_grant",
  "error_description": "Authorization code does not exist: {AUTHORIZATION_CODE}"
}

Vous avez terminé ! L’utilisateur est désormais connecté à votre plateforme. Conservez le paramètre stripe_user_id dans votre base de données. Il s’agit de l’ID du compte Stripe du nouveau compte. Vous utiliserez cette valeur pour authentifier celui-ci comme le compte connecté en l’intégrant dans les requêtes dans l’en-tête Stripe-Account.

Dans votre application, vous pouvez envisager d’utiliser une bibliothèque client OAuth dédiée pour simplifier ces étapes. Pour trouver une bibliothèque OAuth pour votre langue ou cadre, vous pouvez consulter la liste des bibliothèques clients disponible sur le site Web OAuth.

La requête refresh_token peut être utilisée pour générer des tokens d’accès de test pour un client_id de production ou pour renouveler votre token d’accès. Conservez cette valeur, car vous ne pourrez l’obtenir qu’après cette requête POST initiale.