OAuth 2.0
OAuth permet un accès limité à des ressources protégées. Une autorisation d’API ne prouve pas automatiquement l’identité d’une personne connectée.
OAuth 2.0 est un cadre d’autorisation d’accès aux ressources protégées. Un service peut recevoir un jeton d’accès sans obtenir le mot de passe personnel du propriétaire de la ressource.
Une autorisation limitée
Dans un exemple hypothétique, un service d’analyse peut lire les commandes, mais pas les modifier. Les droits accordés et la ressource cible limitent l’utilisation du jeton. Le service qui l’accepte doit vérifier ces limites.
OAuth n’est pas, à lui seul, une méthode de preuve de l’identité d’une personne connectée. La simple possession d’un jeton n’autorise pas non plus toute action. Une réalisation sûre exige des recommandations de sécurité actuelles ; d’anciens exemples de parcours ne suffisent pas.
Sources
Termes associés
- APIUne API définit comment un logiciel peut utiliser les fonctions ou données proposées par un autre logiciel.
- Gestion des identités et des accèsL’IAM associe gestion des identités numériques et droits d’accès. Comptes, changements de rôle et retrait des anciens droits sont liés.
- Principe du moindre privilègeLe moindre privilège limite les droits à la tâche nécessaire et à son périmètre. Le travail requis reste possible ; les pouvoirs superflus sont retirés.
- WebAuthnWebAuthn est l’API du navigateur pour la connexion par clé publique. Le serveur doit vérifier la réponse avant d’accepter l’authentification.
- PasskeyUn passkey permet la connexion avec une paire de clés liée au service. Changement d’appareil, récupération du compte et droits restent à organiser.
- Contrôle d’accès basé sur les attributsL’ABAC évalue les accès selon des propriétés et règles définies. L’origine et l’actualité de ces propriétés font partie de la conception.
Votre projet avec ASES
Décrivez-nous votre projet. Nous revenons vers vous avec une première évaluation.