Client OpenID Connect : code d'autorisation + PKCE

Déclarez l'application monopage portail dans Keycloak (royaume acme). Fichier ~/iam/client-portail.json :

• clientId portail, publicClient: true (une SPA ne peut pas garder de secret)
• standardFlowEnabled: true (code d'autorisation), implicitFlowEnabled: false, directAccessGrantsEnabled: false (pas de mot de passe envoyé à l'application)
• PKCE obligatoire : "attributes": { "pkce.code.challenge.method": "S256" }
• redirectUris : exactement ["https://portail.acme.test/callback"] (pas de joker), webOrigins : ["https://portail.acme.test"]

Créez-le : kcadm.sh create clients -r acme -f client-portail.json (depuis ~/iam). Quels scopes demander pour obtenir l'identité et l'e-mail ? → answer scopes "openid email" (au minimum openid)