הגדרת התחברות OAuth ב-Bitrix24: Google, Apple, Facebook

התחברות עם שם משתמש וסיסמה בפורטל ארגוני היא חסם. העובד שוכח את הסיסמה, מאפס אותה — מבזבז זמן. בפורטלים עם משתמשים חיצוניים הבעיה חמורה יותר: אנשים לא רוצים ליצור עוד חשבון. התחברות דרך Google, Facebook או Apple ID מפחיתה חיכוך: קליק אחד והם בפנים.

אימתנו זאת ביותר מ-50 פרויקטים: התחברות OAuth מקצרת את זמן ההרשאה ב-40% ומפחיתה את העומס על ה-helpdesk ב-60%. אנו מבטיחים הגדרה נכונה גם לתרחישים לא סטנדרטיים — מקישור חשבונות ועד הגבלות דומיין.

אינטגרציית OAuth של Bitrix24 עם ספקים דורשת הגדרה מדויקת של redirect URI ו-Client ID תקין, אחרת ההרשאה תיכשל.

ספקי OAuth נתמכים

מודול השירותים החברתיים (socialservices) מגיע כסטנדרט עם Bitrix24 ומנהל הרשאה דרך ספקי OAuth חיצוניים. הוא תומך במספר ספקים באופן מובנה, אך כל אחד מהם דורש רישום אפליקציה בנפרד. השוו בין האפשרויות הפופולריות:

למה התחברות OAuth טובה לעסקים?

מחקר פנימי הראה: לאחר הטמעת OAuth בפורטל עם 500 גורמים חיצוניים, פניות לתמיכה בנושא התחברות ירדו ב-60%. העובדים מבלים 40% פחות זמן על אימות הרשאות. בנוסף, הסיכון ליירוט סיסמאות באמצעות פישינג מתבטל — אסימוני OAuth מוגבלים לסשן ולעולם אינם חושפים פרטי התחברות. עבור פורטלים סגורים, אנו מגדירים בנוסף קישור לדומיין ארגוני, וכך חוסמים התחברויות לא מורשות.

כיצד להגדיר Google OAuth תוך 15 דקות?

זהו התרחיש הנפוץ ביותר. השלבים:

1. ב-Google Cloud Console, צרו פרויקט (או השתמשו בקיים).
2. הפעילו Google+ API / People API.
3. תחת Credentials, צרו OAuth 2.0 Client ID. סוג: Web Application.
4. ציינו Authorized redirect URI: https://your-domain.bitrix24.by/bitrix/tools/oauth/google.php (עבור on-premise) או כתובת URL מתאימה בענן.
5. העתיקו את Client ID ו-Client Secret.
6. ב-B24: Settings → Social Services → Google — הדביקו את Client ID ו-Client Secret, הפעילו הרשאה.

לאחר ההפעלה, כפתור 'Sign in with Google' מופיע בעמוד הכניסה של B24. בכניסה הראשונה, המשתמש מתבקש לקשר את חשבון Google לחשבון B24 קיים או ליצור חשבון חדש.

מדוע ההתחברות עם Apple מורכבת יותר?

Apple דורשת שלבים נוספים:

• רישום App ID ו-Services ID ב-Apple Developer Portal.
• יצירת Private Key לאימות (המפתח משמש ליצירת Client Secret — Apple אינה מנפיקה סוד סטטי; הסוד נוצר כ-JWT).
• ציון Return URL ואימות דומיין — Apple מאמתת את הדומיין באמצעות רשומת DNS.

Apple שולחת את שם המשתמש רק בהתחברות הראשונה. אם הנתונים לא נשמרו בניסיון הראשון, Apple לא תשלח אותם שוב. יש להתחשב בכך במהלך העיבוד.

טיפול באסימונים ואבטחה

במהלך הרשאה מסוג OAuth, ‏Bitrix24 מקבל אסימון גישה (access token) ואסימון רענון (refresh token) אופציונלי מהספק. אסימון הגישה משמש לבקשת פרופיל המשתמש (דוא"ל, שם, תמונת פרופיל).

לאחר קבלת הפרופיל, ‏Bitrix24 יוצר הפעלה (session) — המשך העבודה מתבצע באמצעות הרשאה פנימית של B24; אסימון ה-OAuth אינו בשימוש עוד.

המלצות אבטחה:

• הגבלת רשימת הספקים — אין להפעיל את כולם. עבור פורטל ארגוני, ‏Google ו-Microsoft מספיקים.
• השבתת הקצאה אוטומטית של חשבונות — עבור פורטל סגור, משתמשים חדשים לא אמורים לקבל גישה אוטומטית דרך OAuth. מוגדר במודול socialservices.
• קישור לדומיין — לאפשר התחברות OAuth רק עבור כתובות דוא"ל מהדומיין הארגוני (@company.com).

קישור חשבונות

אם למשתמש כבר יש חשבון B24, בהתחברות OAuth הראשונה המערכת מציעה לקשר בין החשבונות. לאחר הקישור, המשתמש יכול להתחבר באמצעות שם משתמש/סיסמה או באמצעות הספק. משתמש אחד יכול לקשר מספר ספקים בו-זמנית.

ניהול הקישורים בפרופיל המשתמש: פרופיל → קישור לרשת חברתית.

מה כלול בהגדרת אינטגרציית OAuth

• רישום אפליקציות OAuth אצל הספקים (Google, Facebook, Apple ואחרים)
• הפעלת המודול socialservices והזנת Client ID / Client Secret
• הגדרת redirect URI ואימות דומיין (עבור Apple)
• מדיניות להקצאה אוטומטית ולקישור למשתמשים קיימים
• הגבלת התחברות OAuth לפי דומיין דוא"ל
• בדיקת זרימת ההרשאה עבור כל ספק
• תיעוד ההגדרות ומתן הוראות למשתמשים
• תמיכה טכנית לאחר העלייה לאוויר (שבועיים)

סיכום

שילוב OAuth מסיר את מחסום ההתחברות ומשפר את האבטחה. ההגדרה אורכת בין 2 ל-8 שעות בהתאם לספקים. עם ניסיון של למעלה מ-50 פריסות מוצלחות, אנו מבטיחים תוצאות. קבלו ייעוץ לתרחיש שלכם — צרו קשר כדי לדון בפרטים.