Applogin — единая авторизация

Подключите вход через Google и email/пароль к своему приложению одним скриптом. Вся авторизация — вход, регистрация, подтверждение почты, сброс пароля, Google — происходит внутри защищённого iframe на applogin.one. Ваша страница никогда не видит пароль пользователя и ничего не проверяет — вы получаете только готовый app-scoped токен.

Как это работает

Applogin — провайдер аутентификации (как Auth0/Clerk), но форма входа отдаётся во фрейме с нашего домена. Ваше приложение через SDK открывает этот фрейм (во всплывашке) и получает результат по postMessage. Токен — JWT, подписанный секретом вашего приложения (aud=app_id), поэтому он бесполезен в чужом приложении.

Быстрый старт

Подключите два скрипта и смонтируйте виджет — он сам сделает тихий вход, покажет кнопку «Войти», откроет форму во фрейме и вернёт пользователя.

<script src="https://applogin.one/applogin.js?v=1"></script>
<script src="https://applogin.one/applogin-ui.js?v=1"></script>
<script>
  ApploginUI.mount({
    appId: "app_your_id",
    onAuth:   (user) => renderApp(user),  // signed in: { id, email, name, picture, email_verified }
    onLogout: ()     => showLanding()
  });
  // sign-out button:  ApploginUI.logout();
</script>

Всё. Форму, регистрацию, коды на почту, Google и сброс пароля берёт на себя Applogin. Единственное условие — зарегистрировать app_id и указать allowed_origins (см. Создание приложения).

Виджет ApploginUI рекомендуется

Готовый «замок» на приложение: пока не вошёл — показывает экран с кнопкой «Войти»; по клику открывает всплывашку с формой; после входа зовёт onAuth(user) и убирает экран.

Профиль (аватар, имя, e-mail) и кнопку «Выйти» рисуете вы из onAuth(user) — это ваш UI. Данные пользователя приходят готовыми.

Методы SDK (applogin.js) низкий уровень

Если нужен свой UX вместо виджета — работайте с SDK напрямую. Сначала Applogin.init({ appId }). Токен хранится в localStorage под ключом al_token_<appId>.

Applogin.init({ appId: "app_xxx" });

// on load — silently try SSO:
const s = await Applogin.getSession();
if (s.authenticated) showApp(s.user);
else {
  const r = await Applogin.openLogin();     // modal with the applogin.one form
  if (r) showApp(r.user);
}
// attach Applogin.getToken() to your backend requests

Сквозной вход (SSO)

При входе Applogin ставит cookie al_sso с атрибутом Partitioned. Ключ партиции — top-level сайт (самый внешний). Поэтому:

• Несколько ваших приложений под одним сайтом (напр. встроенные в appdock.pro) делят сессию → getSession() во втором приложении подхватывает вход без формы.
• То же приложение, открытое как отдельный сайт (другой top-level) — другая партиция → вход попросят заново.

const s = await Applogin.getSession();   // ← {authenticated:true,…} if a session exists in this partition
if (s.authenticated) showApp(s.user);

Языки

Hosted-форма входа говорит на 10 языках: English, Deutsch, Français, Español, Italiano, Português, 日本語, 한국어, 中文, Русский. По умолчанию она открывается на языке браузера пользователя (фоллбек — английский); язык можно сменить прямо в форме — меню с флагами внизу.

• Задать язык явно. Передайте lang в виджет или SDK: ApploginUI.mount({ appId, lang: "ru" }) или Applogin.init({ appId, lang: "ru" }) — форма откроется на этом языке. Без опции SDK автоматически отправляет язык браузера.
• Узнать выбор пользователя. Пользователь может сменить язык внутри формы. Результат Applogin.openLogin() содержит lang — язык формы на момент входа — чтобы ваша страница могла подстроиться. Виджет также сохраняет его (localStorage al_lang), и следующая форма откроется на нём.
• Письма следуют за формой. Письма с кодами подтверждения и сброса пароля уходят на языке формы.

Под капотом URL формы принимает ?lang=xx (двухбуквенный код из списка выше) — SDK передаёт его за вас.

Живой пример: AppDock

appdock.pro — «док»-лаунчер: одна страница, которая открывает несколько приложений в iframe. Приложения живут на своих доменах:

Войдите в Email Writer внутри дока, затем откройте Audio Recorder (тоже внутри дока) — вход подхватится сам: оба работают под одним top-level сайтом appdock.pro и делят одну SSO-партицию.

1. Док-лаунчер (appdock.pro)

<button class="tile" data-src="https://emailwriter.online/">Email Writer</button>
<button class="tile" data-src="https://audiorecorder.info/">Audio Recorder</button>
<iframe id="frame" allow="microphone; clipboard-write"></iframe>
<script>
  document.querySelectorAll(".tile").forEach(t =>
    t.onclick = () => document.getElementById("frame").src = t.dataset.src);
</script>

2. Приложение (напр. emailwriter.online)

<script src="https://applogin.one/applogin.js?v=1"></script>
<script src="https://applogin.one/applogin-ui.js?v=1"></script>
<script>
  ApploginUI.mount({
    appId: "app_emailwriter",
    title: "Email Writer — sign in",
    onAuth: (user) => {              // render the profile + the app
      header.textContent = user.name + " · " + user.email;
      app.hidden = false;
    },
    onLogout: () => { app.hidden = true; }
  });
</script>

3. Регистрация приложений для этого сценария

У каждого приложения в allowed_origins — свой домен + домен дока (frame-ancestors видит всю цепочку предков вложенного фрейма):

app_emailwriter → allowed_origins: ["https://emailwriter.online", "https://appdock.pro"]
app_recorder    → allowed_origins: ["https://audiorecorder.info", "https://appdock.pro"]
// redirect_uris (for Google): ["https://applogin.one/auth-callback.html"]

Проверка токена на вашем бэкенде

Фронт кладёт Applogin.getToken() в заголовок Authorization ваших запросов. На бэкенде токен проверяют двумя способами.

1. Ручкой платформы учитывает отзыв

POST https://applogin.one/api/v1/session/verify
{ "app_id": "app_xxx", "token": "<JWT from Authorization>" }
// → { "valid": true, "user": { "id": 2, "email": "…", "email_verified": true, "name": "…", "picture": null } }
//   invalid/revoked (logout) → { "valid": false, "user": null }

2. Локально (HS256 вашим jwt_secret) без сети

// Node.js
const jwt = require("jsonwebtoken");
const claims = jwt.verify(token, process.env.APPLOGIN_JWT_SECRET, {
  algorithms: ["HS256"], audience: "app_xxx", issuer: "applogin"
});
// claims.sub — user id, claims.email, claims.email_verified

# Python
import jwt
claims = jwt.decode(token, APPLOGIN_JWT_SECRET, algorithms=["HS256"],
                    audience="app_xxx", issuer="applogin")

Структура JWT

{
  "iss": "applogin",
  "aud": "app_xxx",          // your app_id
  "sub": "2",                // user id (as a string)
  "jti": "…",                // session id (for revocation)
  "email": "user@example.com",
  "email_verified": true,
  "name": "Jane", "picture": null,
  "iat": 1782194619, "exp": 1784786619   // ~30 days
}

Вебхук (опционально)

Если задать у приложения webhook_url, платформа при успешном входе через Google шлёт на него подписанный POST с проверенной личностью — для серверной синхронизации в дополнение к токену.

const exp = "sha256=" + crypto.createHmac("sha256", WEBHOOK_SIGNING_SECRET)
  .update(ts + "." + rawBody).digest("hex");
if (!crypto.timingSafeEqual(Buffer.from(exp), Buffer.from(sig))) reject();

Создание приложения

Приложения создаются в закрытом дашборде applogin.one/dashboard (вход — через сам Applogin). При создании вы указываете:

Выдаются: app_id (публичный), jwt_secret (для проверки токена на бэкенде), client_secret, webhook_signing_secret.

REST API — справочник

База: https://applogin.one/api. Ниже — что реально нужно билдеру. Ручки email/пароля и Google-обмена дёргает сама hosted-форма, вам их вызывать не нужно.

Для билдера

Проверить app-токен на бэкенде (с учётом отзыва). { app_id, token } → { valid, user }.

Публичные данные приложения (name, allowed_origins). Использует hosted-страница входа.

Внутренние (дёргает hosted-форма/SDK, не билдер)

Ошибки

{"error":"Invalid or expired code","message":"Invalid or expired code"}

Безопасность

• Пароль изолирован. Поля ввода — только в iframe на applogin.one; JS встраивающего сайта к ним не имеет доступа. Билдер не может «подслушать» пароль.
• App-scoped токены. JWT подписан секретом приложения и имеет aud=app_id — токен одного приложения недействителен в другом. Билдер не зайдёт под своим юзером в чужое приложение.
• Доставка токена только своим. Форма шлёт токен postMessage только на origin из allowed_origins; сама страница входа отдаётся с Content-Security-Policy: frame-ancestors <allowed_origins> (анти-clickjacking).
• Глобальная сессия — HttpOnly. Cookie al_sso недоступна JS; у билдера на руках только app-токен.
• Анти-CSRF на SSO. /v1/session/sso выдаёт токен только для Origin ∈ allowed_origins — чужой сайт с cookie юзера токена не получит.
• Анти-брутфорс. Рейт-лимит на login/reset/verify (по e-mail и IP).
• Пароли — хешируются (PBKDF2); коды — хеш, TTL 10 мин, лимит попыток; HTTPS везде; Google-токены не храним. Google-вход — PKCE (S256) + state + nonce.

Шпаргалка для LLM

// include
<script src=https://applogin.one/applogin.js?v=1></script>
<script src=https://applogin.one/applogin-ui.js?v=1></script>

// mount (a lock on the app)
ApploginUI.mount({ appId, onAuth:(user)=>..., onLogout:()=>... });
ApploginUI.logout();

// low level
Applogin.init({ appId });
await Applogin.getSession();   // {authenticated, token, user} — silent SSO
await Applogin.openLogin();    // {token, user, lang}|null — modal with the form
Applogin.getToken(); await Applogin.verify(); await Applogin.logout();

// backend: verify the token
POST https://applogin.one/api/v1/session/verify {app_id, token} -> {valid, user}
// or locally: jwt.verify(token, jwt_secret, {algorithms:["HS256"], audience:app_id, issuer:"applogin"})

Applogin · единая авторизация · дашборд · живой пример: AppDock