Intégration de l'apprentissage gamifié avec Moodle, Canvas et Blackboard : LTI 1.3, SCORM, xAPI et Open Badges

Comment fonctionne un lancement de LTI 1.3

LTI 1.3 s'appuie sur OpenID Connect. La spécification principale et le cadre de sécurité 1EdTech définissent une connexion initiée par un tiers dans laquelle le LMS (la plateforme) et votre outil échangent un jeton Web JSON signé, le id_token.[1][2]

Les revendications qui comptent

Les réclamations reposent sur https://purl.imsglobal.org/spec/lti/claim/. Un lancement de lien de ressource doit contenir message_type (LtiResourceLinkRequest), version (1.3.0), deployment_id, target_link_uri, resource_link et roles, qui peut être un tableau vide, plus sub sauf dans les lancements anonymes.[1] Deux détails passent souvent inaperçus. Le context la revendication est facultative, donc un outil ne doit pas prendre un cap ; et le resource_link id doit changer lorsqu'un lien est copié, ce qui est important pour tout état de jeu par lien. Les valeurs dans le custom La revendication doit être constituée de chaînes et une valeur commençant par $ demande à la plateforme de substituer des données telles que $Context.id.[1]

Seulement sub est une revendication requise de l'utilisateur. Le nom, l'adresse e-mail et les paramètres régionaux sont facultatifs et une plateforme peut être lancée de manière anonyme, en laissant de côté sub et toute revendication d'identité. La suite de certification teste les deux cas, un outil doit donc les gérer dès sa conception.[1][8]

Clés et rotation

Signez avec des clés RSA d'au moins SHA-256 (RS256), publiez-les dans un jeu de clés Web JSON, attribuez à chaque clé un kid même lorsqu'il n'y en a qu'un, et ne jamais réutiliser un kid pour une clé différente. Pour faire pivoter, ajoutez la nouvelle clé sous un nouveau kid et conservez l'ancien dans l'ensemble pendant que les deux sont utilisés.[2] Faites pivoter les clés à l'intérieur d'une URL d'ensemble de clés stable : un article d'un développeur de Blackboard de 2021 note que la modification de l'URL elle-même a forcé les institutions à redéployer l'outil.[39]

Les services Avantage LTI

Deep Linking 2.0 : placement de contenu et création de la colonne de note

Dans un LtiDeepLinkingRequest, la plateforme envoie deep_linking_settings avec un deep_link_return_url, accept_types et accept_presentation_document_targets, et éventuellement accept_multiple, accept_lineitem et auto_create. L'outil répond en publiant un formulaire signé LtiDeepLinkingResponse dans un paramètre nommé JWT, avec content_items de type ltiResourceLink, link, file, html ou image.[3] Un ltiResourceLink peut transporter un lineItem avec un label, scoreMaximum, resourceId et tag, la colonne du carnet de notes est donc créée avec le lien. La spécification appelle cela l'approche déclarative et la préfère là où elle s'adapte.[3][4]

Services d'affectation et de notation 2.0

Le lancement comporte une revendication de point de terminaison avec les étendues accordées et les URL des éléments de campagne. Les quatre portées sont https://purl.imsglobal.org/spec/lti-ags/scope/lineitem, …/lineitem.readonly, …/result.readonly et …/score. Les scores sont publiés sur l'URL de l'élément de campagne avec /scores annexé, comme application/vnd.ims.lis.v1.score+json.[4]

Une partition porte userId, timestamp, activityProgress (Initialized, Started, InProgress, Submitted, Completed) et gradingProgress (FullyGraded, Pending, PendingManual, Failed, NotReady), avec scoreGiven et scoreMaximum lorsqu'il y a un score. Quatre règles déterminent le comportement des outils gamifiés : les plateformes peuvent tout ignorer. FullyGraded; un disparu scoreGiven efface tout score précédent ; les horodatages doivent strictement augmenter et ne jamais se répéter pour le même apprenant et le même élément de campagne ; et une plateforme ne doit pas appliquer une mise à jour plus ancienne que celle qu’elle détient.[4]

Services de provisionnement de noms et de rôles 2.0

Avec le contextmembership.readonly Dans ce cadre, un outil permet de lire une liste de cours. Chaque membre porte au moins un user_id, correspondant au lancement sub, et roles; tout le reste dépend du consentement de la plateforme, les outils ne devraient donc pas s'en fier. Les résultats sont paginés Link en-têtes.[5] Pour la gamification, le roster est utile pour les défis d'équipe ; la plupart des outils peuvent l'éviter et créer des utilisateurs au lancement.

Enregistrement dynamique

LTI Dynamic Registration 1.0 automatise l'échange de configuration entre l'outil et la plateforme, bien qu'un administrateur examine et active toujours le résultat. Il s'agit d'une spécification finale candidate, mais les trois plates-formes la prennent en charge sous une forme ou une autre. C'est claims array est également un contrôle de confidentialité : un outil peut demander sub seul.[6][7]

Ce que fait chaque LMS avec LTI 1.3

Moodle

Les administrateurs enregistrent un outil de manière dynamique en collant son URL d'enregistrement et en choisissant "Ajouter un avantage LTI", disponible depuis Moodle 3.10, ou manuellement avec une URL définie par clé, une URL de connexion et des URI de redirection.[25][28] Moodle iss est l'adresse du site, son jeu de clés est à /mod/lti/certs.php et son point de terminaison de jeton à /mod/lti/token.php. Le partage du nom et de l'adresse e-mail du lanceur avec l'outil est par défaut jamais.[27]

La gestion des notes de Moodle est plus stricte que la spécification. Son code 5.2 rejette une partition sans userId, timestamp, gradingProgress ou activityProgress, ensembles scoreGiven à nul sauf si le score est FullyGraded, redimensionne les scores au maximum de l'élément de note et renvoie HTTP 409 lorsque la note stockée est aussi nouvelle ou plus récente que l'horodatage entrant, par rapport à la seconde entière. Deux mises à jour dans la même seconde s’affrontent donc.[27] Moodle peut également publier ses propres cours et activités sur d'autres plates-formes en tant qu'outil LTI Advantage, synchronisant les notes et les membres toutes les 30 minutes par défaut.[25]

Canvas

Les outils LTI 1.3 sont configurés sous forme de clés de développeur, saisies manuellement ou à partir de JSON, et installées dans un compte ou un cours par ID client ; la désactivation ou la suppression de la clé supprime chaque installation. Canvas prend en charge l'enregistrement dynamique, où le niveau de confidentialité par défaut est anonyme et les administrateurs peuvent supprimer les étendues demandées.[31][36] Le privacy_level le réglage prend anonymous, name_only, email_only ou public, mais sub est toujours envoyé. Utilisations de Canvas hébergé https://canvas.instructure.com comme émetteur, avec des points de terminaison d'authentification et d'ensemble de clés sur sso.canvaslms.com.[31]

Un élément de contenu Deep Linking avec un lineItem crée un devoir, à partir de trois emplacements : la sélection du devoir, le menu des devoirs de cours et le menu d'index du module. Un élément de campagne créé sans lien de ressource crée une attribution d'espace réservé.[32][33] Canvas renvoie HTTP 400 pour un horodatage de score antérieur au résultat stocké et 422 pour un utilisateur qui n'est pas étudiant dans le cours, et ignore scoreGiven lorsque la progression est NotReady, Failed ou Pending. Les demandes de liste renvoient 50 membres par page par défaut.[33] Canvas informe les outils des importations de cours via son service de notification de plate-forme, sans réessayer les livraisons échouées, et prend en charge le stockage de la plate-forme LTI pour les navigateurs qui bloquent les cookies tiers.[31][32] Son API REST est limitée par un coût par requête, renvoyant HTTP 429, et depuis juin 2026 rejette les requêtes sans User-Agent en-tête avec HTTP 403.[34]

Blackboard

Le fournisseur d'outils s'enregistre une fois dans le portail de développeur Blackboard et reçoit un ID d'application (client), l'émetteur https://blackboard.com et les points d'extrémité de la plateforme ; Les institutions déploient ensuite l'outil par ID client et Blackboard génère un ID de déploiement. L'enregistrement dynamique s'effectue dans le portail des développeurs. Blackboard accepte les signatures RS256 et RS512.[38] Les administrateurs choisissent les champs utilisateur à envoyer (le rôle, le nom et l'adresse e-mail sont présélectionnés) et si chaque outil peut lire les listes et les notes, et les services de notation exposent uniquement les colonnes créées par l'outil. LTI doit être activé à trois endroits, et la suppression du domaine ou de l'emplacement d'un outil rompt définitivement les liens existants.[41] Certaines pages du développeur Blackboard diffèrent de la spécification sur des détails tels que le chemin des scores, donc construisez selon la spécification et testez.[38] Son portail de développeur limite par défaut les appels REST à 10 000 par 24 heures et par groupe de développeurs, renvoyant HTTP 429 avec un Retry-After en-tête ; il n'est pas documenté si cela couvre également les appels de service LTI.[39]

Concevoir un retour de note pour les outils gamifiés

Les points, les stries et les niveaux appartiennent à l'outil. Le carnet de notes doit recevoir quelque chose qu'un évaluateur reconnaîtrait. En pratique :

• Post-maîtrise, pas de points bruts. Les points illimités s'intègrent mal dans un carnet de notes, et Moodle et Canvas sont redimensionnés au maximum de la colonne. Conservez les points dans l'outil et affichez un score limité, tel qu'un pourcentage de maîtrise avec scoreMaximum sur 100.[4][27][33]
• Envoyez les scores uniquement lorsqu'ils sont définitifs. Poste scoreGiven avec gradingProgress de FullyGraded, et n'envoyez jamais de mise à jour de progression uniquement après qu'un score existe, car un score manquant scoreGiven l'efface.[4]
• Créez des colonnes de manière déclarative. Renvoyer un lineItem via Deep Linking, et avant de créer un élément de campagne par programmation, recherchez ceux existants en resource_link_id, resource_id ou tag.[3][4]
• Utilisez le temps avec précaution. Envoyez des horodatages ISO 8601 avec une précision inférieure à la seconde à partir de serveurs synchronisés par horloge, et pas plus d'un score par apprenant et par élément de campagne par seconde.[4][27]
• Récupération sans doublons. Le grade service ne possède pas de clé d'idempotence. Après un échec ambigu, lisez le résultat actuel, puis republiez-le avec un horodatage ultérieur.[4]
• Survivre aux copies de cours. Les ID de lien de ressource changent lors de la copie pendant resourceId et tag survivre ; Canvas propose également $Context.id.history et copie des avis.[1][4][32]

SCORM : portable, avec des arêtes vives

SCORM reste le moyen le plus portable de placer du contenu dans un LMS, et le choix habituel lorsque les outils ne peuvent pas être hébergés en externe. Les limites importantes pour le contenu de type jeu sont les suivantes :[18][19]

Moodle prend en charge SCORM 1.2, réussissant la suite de tests de conformité ADL, mais pas SCORM 2004 : certains packages 2004 peuvent sembler fonctionner, mais le développement s'est arrêté. Son "mode standards SCORM" est désactivé par défaut, ce qui permet aux packages SCORM 1.2 de stocker jusqu'à 64 000 caractères d'état, donc un package qui en dépend peut échouer ailleurs.[26][27] Canvas a besoin que son outil SCORM soit activé au niveau du compte. Il lit SCORM 1.2 et SCORM 2004 2e à 4e éditions sous forme de devoir noté, de devoir non noté ou de page, un choix qui ne peut pas être modifié après l'importation ; les téléchargements sont par défaut de 100 points et SCORM n'est pas disponible dans les environnements bêta ou de test Canvas.[36] Blackboard lit les packages SCORM 1.2, SCORM 2004 4e édition, AICC et xAPI via son moteur SCORM, en notant l'ensemble du package ou les SCO individuels. En cas de tentatives multiples, il utilise la dernière tentative notée, et le schéma de note et le maximum ne peuvent pas être modifiés après l'importation.[42]

Pour le contenu gamifié, cela signifie expédier SCORM 1.2 lorsque Moodle est impliqué, conserver l'état enregistré dans les 4 096 caractères (le compresser ou conserver l'état sur un serveur) et tester dans SCORM Cloud, qui lit et débogue les packages mais ne les certifie pas.[43]

xAPI et cmi5

Une instruction xAPI nécessite un actor, un verb et un object, et peut porter un result avec un score échelonné de −1 à 1, réussite, achèvement et durée. Lorsque les données personnelles posent problème, le cahier des charges recommande d’identifier l’acteur par un nom de compte opaque.[20] La norme IEEE 9274.1.1-2023, que l'IEEE décrit comme normalisant xAPI 1.0.3, a été adoptée en 2025 sous le nom de ISO/IEC/IEEE 39274-1-1, et le référentiel de spécifications d'ADL répertorie xAPI 2.0 comme version actuelle.[20][21]

cmi5 ajoute le lancement LMS manquant. Le LMS lance une unité assignable avec endpoint, fetch, actor, registration et activityId; l'unité échange l'unité unique fetch URL d'un jeton d'autorisation, lit les données de lancement incluant le moveOn règle, et doit envoyer "initialisé" en premier et "terminé" en dernier.[22]

Aucune des trois plateformes n’est un magasin de disques d’apprentissage. La bibliothèque xAPI principale de Moodle, ajoutée pour H5P, n'est pas censée être un LRS complet, mais le logstore_xapi transmet les événements Moodle à un LRS externe et ADL publie un plugin de lancement cmi5.[23][29] Nous n'avons trouvé aucun support natif xAPI, LRS ou cmi5 documenté pour Canvas. Blackboard lit les packages xAPI sans LRS et son moteur SCORM peut transmettre les données d'activité SCORM vers un LRS externe.[42]

Open Badges 3.0 et identifiants portables

Open Badges 3.0 aligne les badges avec le modèle de données d'informations d'identification vérifiables du W3C 2.0, une recommandation du W3C depuis mai 2025. Les informations d'identification sont OpenBadgeCredential ou AchievementCredential, signé en tant que VC-JWT ou avec une preuve d'intégrité des données, avec des clés d'émetteur trouvées sur une URL HTTP ou un DID, et peut être regroupé dans un dossier d'apprenant complet 2.0.[14][15][17] Les problèmes principaux de Moodle sont certifiés Open Badges 2.0, avec 3.0 en développement. Dans Canvas, Parchment Digital Badges publie la version 3.0 pour les organisations payantes qui s'inscrivent, et ces badges sont privés par défaut. Dans Blackboard, l'outil Réalisations est lié à Milestone, qui est passé à la version 3.0 en juillet 2025 et détient une certification d'émetteur 3.0 active.[9][12][13][49][50] Pour les outils gamifiés, le choix pratique est de délivrer des diplômes pour des réalisations significatives par l'intermédiaire de l'un de ces émetteurs, ou en tant qu'émetteur certifié vous-même, plutôt que d'insérer le nombre de badges dans le carnet de notes.

Événements d'analyse

Caliper 1.2, publié en 2020, définit des enveloppes d'événements et des profils de métriques, mais Canvas et Blackboard utilisent 1.1 en pratique.[16] Les événements Canvas Live peuvent être transmis au format Caliper 1.1 dans une file d'attente ou un webhook signé, avec une rotation de clé mensuelle et jusqu'à trois tentatives ; Canvas Data 2 fournit des instantanés en masse et des requêtes incrémentielles.[35] Blackboard détient une certification active Caliper 1.1 et peut diffuser des événements vers un magasin externe.[11][39] Moodle n'a pas de Caliper natif ; ses options sont des services Web et des plugins de magasin de journaux.[28][29]

Confidentialité, sécurité et droit britannique

Rôle d'abord. Selon les directives edtech de l'ICO, le fait qu'un fournisseur soit un responsable du traitement ou un sous-traitant dépend de qui contrôle réellement le traitement, quoi qu'en dise le contrat. Un prestataire qui ne suit que les instructions d'un établissement est probablement un sous-traitant, mais celui qui utilise les données des élèves à ses propres fins, comme le développement de produits, devient un responsable du traitement et peut inclure le code pour enfants dans le champ d'application.[44] En juin 2026, l'ICO a rendu compte de ses audits de 28 fournisseurs de technologies éducatives, dont les produits comprenaient des systèmes de gestion de l'apprentissage. Une mauvaise évaluation de ce rôle était le problème le plus courant, en particulier lorsque les données alimentaient le développement ou l'analyse de produits, aux côtés de contrats légers, de cartes de flux de données incomplètes et d'évaluations d'impact faibles.[45]

Réduire au lancement. Sur demande uniquement sub et rôles, en utilisant l'enregistrement claims tableau et lancements anonymes lorsque cela est possible. Dans Moodle, laissez le partage de nom et d'e-mail à jamais ; dans Canvas, définissez privacy_level à anonyme ; dans Blackboard, décochez le nom et l'adresse e-mail et désactivez l'accès à la liste dont un outil n'a pas besoin. Utilisez des identifiants opaques dans xAPI.[6][27][31][41][46]

Transferts d'esprit et changements de 2026. Les transferts internationaux restreints nécessitent des réglementations adéquates, des garanties approuvées ou une exception.[46] Depuis le 19 juin 2026, les organisations doivent lancer une procédure de plainte relative à la protection des données en vertu de la loi sur les données (utilisation et accès), et le 30 septembre 2026, l'ICO est officiellement devenue la Commission de l'information.[47]

Soyez prêt à tourner. En mai 2026, le ministère américain de l'Éducation a mis en garde contre un incident de cybersécurité impliquant Canvas, survenu via des comptes Free-for-Teacher, et a conseillé aux établissements de alterner les outils LTI, les connecteurs d'authentification unique et les clés API.[48] Chaque intégration doit avoir une procédure documentée de rotation des clés.

Tests et certification

La certification 1EdTech signifie réussir sa suite de tests, qui envoie délibérément des lancements mal formés, et renouveler chaque année son adhésion ; les plates-formes doivent passer le noyau et les trois services. Les outils de développement incluent l'implémentation de référence LTI et build.1edtech.org.[8] SCORM Cloud lit et débogue le contenu SCORM, xAPI, cmi5 et LTI et inclut un LRS, et CATAPULT d'ADL fournit des suites de tests cmi5 pour le contenu et pour les LMS, avec un lecteur de référence.[23][43] Pour les plateformes : le bac à sable public de Moodle se réinitialise toutes les heures et moodle-docker s'exécute localement ; Canvas est open source et s'exécute localement sous Docker, bien qu'une instance auto-hébergée utilise son propre émetteur ; et Blackboard publie une image de développeur, l'actuelle expirant le 13 novembre 2026.[30][37][39]

Une architecture de référence

En regroupant ces contraintes, un outil gamifié qui s'intègre aux trois plates-formes nécessite quatre parties qui lui sont propres : un service LTI, un moteur de jeu, une politique de qualité et une couche de confidentialité. Le diagramme se lit de haut en bas.

Modes de défaillance à concevoir pour

• Désalignement de l'horloge interrompt la validation des jetons et l'ordre des notes : synchronise les horloges et ne laisse qu'une marge de manœuvre de quelques minutes.[2][4]
• Rotation des clés interrompt les lancements si les anciennes clés disparaissent prématurément ou si l'URL de l'ensemble de clés change.[2][39]
• Éléments de campagne en double apparaître lorsque les outils publient avant de rechercher les colonnes existantes ; Canvas transforme chacun en une affectation d'espace réservé.[4][33]
• Copies de cours modifier les ID de lien de ressource, rendant l'état par lien orphelin à moins que l'outil ne mappe l'historique.[1][32]
• Limites de débit renvoie HTTP 429 dans Canvas et Blackboard : reculez et étalez la synchronisation.[34][39]
• Cookies tiers bloqués briser l'état de connexion : utiliser le stockage de la plateforme LTI là où le LMS le prend en charge, avec un repli.[31][38]
• Actions administratives destructrices, comme supprimer une clé de développeur Canvas ou un domaine d'outil Blackboard, supprimer des installations ou rompre des liens : placez-les dans des runbooks.[36][41]

Liste de contrôle de mise en œuvre

Où en est EdTechLab

Nous nous appliquons les exigences décrites dans ce rapport. Nos plateformes intle, EngagedLab et interacty exportent des paquets SCORM 1.2 et SCORM 2004 (4e édition). En juillet 2026, les paquets intle ont réussi les 124 vérifications SCORM Cloud effectuées au total sur les deux versions. Comme Moodle ne prend pas en charge SCORM 2004, les sites Moodle doivent utiliser l’export SCORM 1.2.

LTI 1.3, les services LTI Advantage et live xAPI ne sont pas des fonctionnalités de nos produits aujourd'hui. Lorsqu'un projet client en a besoin, nous définissons et construisons l'intégration en fonction de la liste de contrôle ci-dessus. Sky, notre programme de recherche et développement pour la conception d'apprentissage au niveau des modules, est conçu pour être installé dans Blackboard Ultra et Canvas via LTI 1.3, et Moodle et Brightspace devraient suivre. La certification de conformité 1EdTech LTI 1.3 est prévue avant la disponibilité générale.

Limites de ce rapport

• Les détails des spécifications et de la plate-forme reflètent les documents et les entrées du répertoire du 4 octobre 2026 ; statut de certification et changement de comportement de la plateforme.
• Le comportement de Moodle est tiré de son code source 5.2 ; Comportement de Canvas et Blackboard issu de leur documentation, qui diffère parfois des spécifications.
• Nous n'avons pas exécuté d'intégrations en direct sur des instances de production pour ce rapport.
• Certains points n'ont pas pu être vérifiés, notamment le moteur derrière l'outil SCORM de Canvas, le xAPI natif ou cmi5 dans Canvas et le support Moodle pour le stockage de la plateforme LTI.