Реалізація входу через Apple ID на сайті

1. Редирект користувача: GET https://appleid.apple.com/auth/authorize
   ?client_id=com.example.web
   &redirect_uri=https://example.com/auth/apple/callback
   &response_type=code id_token
   &response_mode=form_post
   &scope=name email
   &state=<random_string>
   &nonce=<random_nonce>
2. Apple робить POST на redirect_uri з:
   - code
   - id_token
   - state
   - user (JSON з іменем — лише при першому вході!)

Важно: response_mode=form_post — Apple робить POST, не GET. Redirect URI повинен приймати POST.

Apple OAuth у 2-3 рази складніший у реалізації, але дає доступ до аудиторії iOS-пристроїв. Як показує практика, конверсія входу через Apple ID на 25-30% вища серед користувачів Apple.

Як обробити callback та верифікувати id_token?

public function handleCallback(Request $request): RedirectResponse
{
    // Верифікація state
    abort_unless($request->state === session('apple_state'), 422);

    // Декодування id_token (без верифікації підпису поки)
    $idToken = $this->decodeIdToken($request->id_token);

    // user приходить тільки при першому вході
    $appleUser = $request->has('user') ? json_decode($request->user, true) : null;

    $user = User::updateOrCreate(
        ['apple_id' => $idToken['sub']],
        [
            'email' => $idToken['email'] ?? null,
            'email_verified_at' => $idToken['email_verified'] ? now() : null,
            // Ім'я зберігаємо тільки якщо прийшло (перший вхід)
            'name' => $appleUser ? trim(($appleUser['name']['firstName'] ?? '') . ' ' . ($appleUser['name']['lastName'] ?? '')) : null,
        ]
    );

    // Оновлюємо ім'я тільки якщо воно не було встановлено раніше
    if ($appleUser && !$user->name) {
        $user->update(['name' => ...]);
    }

    Auth::login($user);

    return redirect()->intended('/dashboard');
}

Верифікація id_token

Apple публікує публічні ключі за адресою https://appleid.apple.com/auth/keys. Верифікація через JWT:

// composer require firebase/php-jwt
use Firebase\JWT\JWT;
use Firebase\JWT\JWK;

$keys = Cache::remember('apple_public_keys', 3600, function () {
    return Http::get('https://appleid.apple.com/auth/keys')->json();
});

$payload = JWT::decode($idToken, JWK::parseKeySet($keys));

// Перевірити: iss = appleid.apple.com, aud = client_id, exp, nonce

Як працювати з relay email?

Якщо користувач приховав email, Apple видає relay-адресу @privaterelay.appleid.com. Листи на неї доходять тільки якщо домен зареєстровано в Apple Developer Console → More → Configure Sign in with Apple for Email Communication. Ми допомагаємо налаштувати цей процес, щоб сповіщення доставлялися.

В одному з проєктів relay email не працював через відсутність реєстрації домену — помилка коштувала клієнту втрати частини замовлень. Ми швидко виявили причину та налаштували відповідність, відновивши доставку листів.

Що входить у роботу

• Реєстрація додатку в Apple Developer (App ID, Services ID, Key)
• Генерація client_secret JWT з автоматичним оновленням через cron
• Реалізація OAuth callback з верифікацією id_token та state
• Обробка relay email та прихованого імені (збереження при першому вході)
• Інтеграція з Laravel Socialite або кастомна реалізація
• Документація з підтримки та передача доступів
• Гарантія на код та безкоштовна консультація протягом місяця після здачі

Терміни робіт

Разом: 4–5 робочих днів.

Щоб отримати готову інтеграцію Apple ID під ключ, зв'яжіться з нами — ми оцінимо ваш проєкт і запропонуємо оптимальне рішення. Замовте інтеграцію вже сьогодні та позбавте себе годин налагодження типових помилок.