Un quiz pour ton site

Tu veux enregistrer sur ton site que quelqu'un a réussi le quiz – par exemple pour valider une leçon ou attribuer des points ? Fais alors confirmer le résultat par Qwissit. Ainsi, personne ne peut le simuler.

Comment ça marche

1. Ta page donne au quiz un code à usage unique et le garde en mémoire.
2. Le visiteur résout le quiz. Qwissit vérifie lui-même chaque réponse ; les questions ratées reviennent jusqu'à ce que tout soit juste.
3. À la fin, ta page reçoit une preuve que seul Qwissit peut délivrer et l'envoie à ton serveur.
4. Ton serveur demande à Qwissit si la preuve est authentique et correspond à ton code et à ton quiz. Seulement alors, il enregistre le résultat.

Ce que tu ajoutes

Deux endroits, tous deux en PHP. Tes visiteurs doivent être connectés (session), car le résultat doit appartenir à quelqu'un.

A) Sur la page du quiz : Ce bloc remplace l'extrait normal. Adapte data-set et data-course à ton quiz – les valeurs figurent dans le code ci-dessus.

<?php
session_start();   // your visitors are signed in
$nonce = $_SESSION['quiz_nonce']['http'] ??= rtrim(strtr(base64_encode(random_bytes(16)), '+/', '-_'), '=');
?>
<div id="quiz" data-qwissit-widget data-set="12" data-course="13" data-lang="de"
     data-verify="<?= $nonce ?>"></div>
<script src="https://www.qwissit.com/widget/v1/qwissit-widget.js" async></script>
<script>
document.getElementById('quiz').addEventListener('qwissit:finish', function (e) {
  if (!e.detail.passed || !e.detail.token) return;
  fetch('quiz-complete.php', {
    method: 'POST',
    credentials: 'same-origin',
    headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
    body: 'lesson=http&token=' + encodeURIComponent(e.detail.token)
  }).then(function (r) {
    if (r.ok) { /* done: e.g. show a tick */ }
  });
});
</script>

B) Un nouveau fichier quiz-complete.php dans le même dossier. Indique dans QUIZZES les mêmes valeurs pour set et course et enregistre le résultat à la ligne marquée, comme il convient à ton site.

<?php
// quiz-complete.php – checks the result with Qwissit and saves it only if everything matches
session_start();
const QUIZZES = ['http' => ['set' => 12, 'course' => 13]];   // same values as data-set / data-course

$lesson = (string)($_POST['lesson'] ?? '');
$token = (string)($_POST['token'] ?? '');
$quiz = QUIZZES[$lesson] ?? null;
$nonce = (string)($_SESSION['quiz_nonce'][$lesson] ?? '');
if (!$quiz || $nonce === '' || $token === '') { http_response_code(400); exit; }

$ch = curl_init('https://www.qwissit.com/widget/v1/verify');
curl_setopt_array($ch, [
    CURLOPT_POST => true,
    CURLOPT_POSTFIELDS => http_build_query(['token' => $token]),
    CURLOPT_RETURNTRANSFER => true,
    CURLOPT_TIMEOUT => 4,
]);
$r = json_decode((string)curl_exec($ch), true);
curl_close($ch);

if (!is_array($r)) { http_response_code(503); exit; }   // Qwissit not reachable: save nothing
if (($r['valid'] ?? false) !== true
    || !hash_equals($nonce, (string)($r['nonce'] ?? ''))
    || (int)$r['set'] !== $quiz['set'] || (int)$r['course'] !== $quiz['course']) {
    http_response_code(403); exit;                       // forged, already used, expired or another quiz
}
unset($_SESSION['quiz_nonce'][$lesson]);                 // the code counts only once

// ▶ save the result here, e.g. user + $lesson + date (+ $r['wrong'] = failed attempts)

header('Content-Type: application/json');
echo json_encode(['ok' => true]);

Le fichier n'enregistre que si Qwissit confirme la preuve, qu'elle correspond à ton code à usage unique et qu'elle vient du bon quiz. Ensuite, le code est épuisé : chaque résultat ne compte qu'une fois. Si Qwissit est injoignable pour le moment, rien n'est enregistré – laisse le visiteur réessayer plus tard. La preuve est valable une heure.

Bon à savoir

• Pourquoi ce détour par ton serveur ? Le widget signale aussi la fin du quiz directement dans le navigateur (événement qwissit:finish), mais n'importe qui avec quelques connaissances techniques peut le déclencher lui-même. Cela suffit pour un affichage, pas pour des points, des certificats ou des déblocages.
• N'affiche le quiz avec code qu'aux visiteurs connectés et ne crée pas de session pour les autres – sinon chaque robot en crée une.
• Protège quiz-complete.php comme tes autres formulaires : vérifie la connexion, n'accepte que les requêtes de ton propre site, limite le nombre de requêtes.
• Après une réussite, le visiteur reçoit un nouveau code à la visite suivante et peut refaire le quiz.
• Pour tester : une preuve inventée, la même preuve une deuxième fois et la preuve d'un autre quiz doivent toutes être refusées.