Auth Wiki

OpenID Connect
OAuth 2.0
SAML

Explorez et trouvez des définitions claires des glossaires clés liés à l'authentification, l'autorisation et la gestion de l'identité et des accès (IAM). Travaillez avec des normes ouvertes comme OpenID Connect, OAuth 2.0 et SAML.

A

Accès hors ligne (Offline access)

L'accès hors ligne (offline access) permet aux clients d'obtenir de nouveaux jetons d'accès (access tokens) sans nécessiter que l'utilisateur se réauthentifie. Il est utile pour des sessions de longue durée et une meilleure expérience utilisateur.

API de gestion (Management API)

L'API de gestion (Management API) dans le contexte de la gestion de l'identité et de l'accès (IAM) permet la gestion programmatique des ressources telles que les utilisateurs, les applications, les rôles et les permissions. Typiquement RESTful, elle fournit une couche d'abstraction entre le système IAM et l'interface utilisateur, permettant l'automatisation, l'intégration et le développement de fonctionnalités personnalisées.

Audience (Audience)

Le claim d'audience (audience) dans un jeton spécifie le destinataire prévu, généralement l'application cliente ou la ressource API. Il garantit que le jeton est utilisé uniquement par le bon service, améliorant la sécurité en empêchant l'accès non autorisé.

Auth (clarification)

Le terme "auth" est souvent utilisé comme une abréviation pour authentification ou autorisation. Ces concepts sont liés mais fondamentalement différents.

Authentification (Authentication)

L'authentification (Authentication) est le processus de vérification de la propriété de l'identité (par exemple, un utilisateur ou un service). C'est la base des systèmes de gestion d'identité et d'accès (IAM) et elle est essentielle pour sécuriser les applications et services.

Authentification multi-facteurs (Multi-factor authentication, MFA)

L'authentification multi-facteurs (MFA) est un mécanisme de sécurité qui exige des utilisateurs de fournir au moins deux formes d'identification pour compléter le processus d'authentification. Elle ajoute une couche de sécurité supplémentaire qui réduit considérablement le risque d'accès non autorisé.

Authentification sans mot de passe (Passwordless)

L'authentification sans mot de passe (Passwordless) est une méthode d'authentification qui permet aux utilisateurs de se connecter à des systèmes informatiques sans entrer (ou se souvenir) d'un mot de passe ou de tout autre secret basé sur la connaissance.

Authentification unique (Single sign-on, SSO)

L'authentification unique (Single sign-on, SSO) est une méthode d'authentification qui permet aux utilisateurs d'accéder à plusieurs systèmes avec un seul ensemble de justificatifs. En tant que composant clé des systèmes de gestion des identités et des accès (IAM), le SSO est largement utilisé dans les applications et services modernes basés sur le cloud, simplifiant l'accès des utilisateurs et renforçant la sécurité.

Autorisation (Authorization)

L'autorisation est le processus de détermination des actions qu'une identité peut effectuer sur une ressource. C'est un mécanisme de sécurité fondamental pour définir et appliquer des politiques d'accès.

C

Clé API (API key)

Une clé API est un identifiant unique utilisé pour authentifier et autoriser un client lors de l'accès à une API. Elle sert de jeton secret inclus dans les requêtes API pour vérifier l'identité du client et permettre l'accès à des ressources ou services spécifiques. Les clés API sont généralement utilisées dans les communications de serveur à serveur ou lors de l'accès à des données publiques.

Clé de preuve pour l'échange de code (Proof Key for Code Exchange, PKCE)

La clé de preuve pour l'échange de code (PKCE) est une extension de sécurité pour OAuth 2.0 qui protège les codes d'autorisation contre l'interception et l'utilisation abusive. Elle est appliquée à tous les types de clients dans OAuth 2.1.

Clé de signature (Signing key)

Une clé de signature est une clé cryptographique utilisée pour signer et vérifier les JSON Web Tokens dans OpenID Connect (OIDC). Elle est utilisée pour garantir l'intégrité et l'authenticité des jetons émis par le fournisseur OpenID.

Clé Web JSON (JSON Web Key, JWK)

Une Clé Web JSON (JWK) est un format basé sur JSON utilisé pour représenter des clés cryptographiques. Lorsqu'il est nécessaire de regrouper plusieurs JWKs, ils sont organisés dans un JSON Web Key Set (JWKS).

Client

Dans OAuth 2.0 et OpenID Connect (OIDC), un client est une application qui demande une authentication (authentification) ou une authorization (autorisation) au nom d'un utilisateur ou d'elle-même. Les clients peuvent être publics ou confidentiels (privés) et utilisent différents types de grant (octroi) pour obtenir des tokens (jetons).

Contrefaçon de requête intersites (Cross-site request forgery, CSRF)

La contrefaçon de requête intersites (CSRF) est une attaque qui trompe les utilisateurs en les incitant à exécuter des actions non désirées sur une application web dans laquelle ils sont authentifiés. C'est une vulnérabilité de sécurité courante qui peut mener à des actions non autorisées.

Contrôle d'accès

Le contrôle d'accès est la restriction de qui peut effectuer quelles actions sur certaines ressources dans un système. C'est un mécanisme de sécurité fondamental pour définir et appliquer les politiques d'accès.

Contrôle d'accès basé sur les attributs (Atrribute-based access control, ABAC)

Le contrôle d'accès basé sur les attributs (ABAC) est un modèle de contrôle d'accès qui utilise des attributs (tels que les rôles d'utilisateur, les propriétés des ressources et les conditions environnementales) pour prendre des décisions de contrôle d'accès. C'est une manière flexible et dynamique de gérer l'accès aux ressources protégées.

Contrôle d'accès basé sur les rôles (Role-based access control, RBAC)

Le contrôle d'accès basé sur les rôles (RBAC) est un modèle de contrôle d'accès qui attribue des permissions aux rôles plutôt que directement aux utilisateurs, offrant une manière flexible et efficace de gérer les droits d'accès dans les systèmes.

D

Découverte OpenID Connect (OIDC) (OpenID Connect Discovery)

La découverte OpenID Connect (OIDC) est un mécanisme qui permet aux clients de découvrir automatiquement les points de terminaison et la configuration de l'OpenID Provider.

Demande d'autorisation (Authorization request)

Une demande d'autorisation (authorization request) est une requête OAuth 2.0 pour autoriser un client à accéder à des ressources protégées au nom d'un utilisateur. C'est la première étape des flux d'autorisation utilisateur dans OAuth 2.0.

Demande de jeton (Token request)

La demande de jeton (token request) fait référence à la demande OAuth 2.0 pour échanger des informations d'identification (par exemple, code d'autorisation, jeton d'actualisation) contre un ensemble de jetons, incluant généralement un ou plusieurs des éléments suivants : jeton d'accès (access token), jeton d'identité (ID token) ou jeton d'actualisation (refresh token).

E

eXtensible Access Control Markup Language (XACML)

Le eXtensible Access Control Markup Language (XACML) est un langage basé sur XML pour exprimer des politiques de contrôle d'accès. Il est principalement utilisé pour mettre en œuvre des politiques de contrôle d'accès basé sur les attributs (ABAC).

F

Flux d'informations d'identification client (Client credentials flow)

Le flux d'informations d'identification client (client credentials flow) est un type de OAuth 2.0 grant qui permet aux clients confidentiels d'obtenir des access tokens pour accéder à des ressources protégées. Il est adapté à la communication machine-to-machine (serveur à serveur).

Flux de périphérique (Device flow)

L'autorisation d'appareil OAuth 2.0 est une méthode conviviale pour se connecter sur des appareils à entrée limitée ou des applications sans interface utilisateur. En vérifiant un code d'appareil unique, il est possible pour les utilisateurs d'autoriser l'appareil via un appareil secondaire avec une interface utilisateur complète.

Flux du code d'autorisation (Authorization code flow)

Le flux du code d'autorisation (authorization code flow) est un mécanisme OAuth 2.0 sécurisé qui permet aux applications d'obtenir des jetons d'accès (access tokens) au nom des utilisateurs. Il implique l'authentification de l'utilisateur, la génération de codes d'autorisation et l'échange de jetons.

Flux hybride (Hybrid flow)

Le flux hybride (Hybrid flow) est un flux OpenID Connect (OIDC) qui combine le flux de l'autorisation (authorization code flow) et le flux implicite (implicit flow). Il est conçu pour fournir un équilibre entre sécurité et convivialité pour l'authentification.

Flux implicite (Implicit flow)

Le flux implicite OIDC (OpenID Connect) est une méthode d'authentification pour les SPAs, leur permettant de recevoir rapidement des tokens directement du serveur d'autorisation. Bien qu'il simplifie le processus en éliminant le besoin d'un serveur backend, il est moins sécurisé en raison de l'exposition des tokens dans l'URL.

Fournisseur d'identité (Identity provider, IdP)

Le fournisseur d'identité (IdP) est un service qui gère les identités. Les fournisseurs d'identité modernes prennent en charge OpenID Connect (OIDC) pour l'authentification et OAuth 2.0 pour l'autorisation.

Fournisseur de services (Service provider, SP)

Le fournisseur de services (Service provider, SP) est une application ou un service qui repose sur un fournisseur d'identité (Identity Provider, IdP) pour l'authentification et l'autorisation.

G

Gestion des identités et des accès (Identity and access management, IAM)

La gestion des identités et des accès (IAM) est un concept large qui englobe les processus, technologies et politiques utilisés pour gérer les identités numériques et contrôler l'accès aux ressources. C'est un aspect fondamental de la sécurité dans les applications et systèmes modernes.

I

Indicateur de ressource (Resource indicator)

L'indicateur de ressource dans OAuth 2.0 est un paramètre d'extension défini dans le RFC 8707 qui permet aux clients de spécifier l'emplacement du serveur de ressources dans la requête d'autorisation. Il offre un moyen évolutif de gérer plusieurs serveurs de ressources dans un seul serveur d'autorisation.

Introspection de jeton (Token introspection)

L'introspection de jeton (Token introspection) est une extension OAuth 2.0 qui permet aux clients de demander au serveur d'autorisation de valider les jetons d'accès (access tokens) et de récupérer des métadonnées à leur sujet.

J

Jeton d'accès (Access token)

Un jeton d'accès (access token) est un justificatif utilisé pour accéder aux ressources protégées au nom d'une identité (par exemple, utilisateur ou service). C'est un jeton porteur qui accorde l'accès aux ressources en fonction des scopes (permissions) du jeton.

Jeton d'actualisation (Refresh token)

Un jeton d'actualisation (refresh token) est une information d'identification à longue durée de vie utilisée pour obtenir de nouveaux jetons d'accès (access tokens) sans nécessiter une nouvelle authentification de l'utilisateur. Il est utilisé pour maintenir les sessions utilisateur et offrir une meilleure expérience utilisateur.

Jeton ID (ID token)

Un jeton ID (ID token) est un JSON Web Token (JWT) émis par un serveur d'autorisation à une application cliente. Il contient des informations sur l'utilisateur authentifié, telles que son identifiant unique et des claims. Ce token est utilisé pour vérifier l'identité de l'utilisateur et permet à l'application cliente d'accéder à des ressources protégées au nom de l'utilisateur.

Jeton opaque (Opaque token)

Un jeton opaque est un type de jeton dont le format est déterminé par l'issuer (émetteur), apparaissant généralement comme une chaîne de caractères ou de chiffres, et nécessite une validation par l'issuer plutôt que de contenir toutes les informations nécessaires pour une validation directe.

JSON Web Encryption (JWE)

JSON Web Encryption (JWE) est une méthode standard pour chiffrer et déchiffrer des données au format JSON. Il est souvent utilisé pour protéger des informations sensibles dans les JSON Web Tokens (JWTs) en transit.

JSON Web Token (JWT)

JSON Web Token (JWT) est une norme ouverte définie dans le RFC 7519 qui permet une communication sécurisée entre deux parties. Il est compact, sûr pour les URL et autonome, ce qui le rend idéal pour transmettre des données d'authentification (authentication) et d'autorisation (authorization) entre services.

L

Langage de balisage pour les assertions de sécurité (Security Assertion Markup Language, SAML)

Le Security Assertion Markup Language (SAML) est une norme basée sur XML pour échanger des données d'authentification et d'autorisation entre les fournisseurs d'identité et les fournisseurs de service.

Lien magique (Magic link)

Le lien magique (Magic link) est une URL à usage unique qui peut être utilisée pour compléter le processus d'authentification.

M

Machine-to-machine

La communication machine à machine (M2M) désigne l'échange automatisé de données entre appareils sans intervention humaine. Dans le contexte de l'authentification et de l'autorisation, la communication M2M implique souvent une application cliente qui doit accéder à des ressources, où l'application cliente est une machine (service) ou une machine agissant au nom d'un utilisateur.

Mot de passe à usage unique (One-time password, OTP)

Un mot de passe à usage unique (OTP) est un code unique et temporaire utilisé pour une seule transaction ou session de connexion.

Mot de passe à usage unique basé sur le temps (Time-based one-time password, TOTP)

Un mot de passe à usage unique basé sur le temps (TOTP) est un code temporaire et unique généré par un algorithme qui utilise l'heure actuelle comme facteur clé.

Multi-location (Multi-tenancy)

Multi-location (Multi-tenancy) est une architecture logicielle où une instance unique d'application dessert plusieurs clients (locataires), gardant leurs données isolées et sécurisées. Cela est courant dans le cloud computing et le SaaS pour optimiser les ressources et simplifier la maintenance.

O

OAuth 2.0

OAuth 2.0 est un framework d'autorisation largement utilisé qui permet à une application (client) d'obtenir un accès limité à des ressources protégées pour le compte d'un utilisateur ou de l'application elle-même.

OAuth 2.1

OAuth 2.1 est une mise à jour proposée du cadre d'autorisation OAuth 2.0 qui vise à améliorer la sécurité et l'utilisabilité en dépréciant les flux non sécurisés et en introduisant de nouvelles bonnes pratiques.

Octroi d'autorisation OAuth 2.0 (OAuth 2.0 grant)

Un octroi d'autorisation OAuth 2.0 (parfois appelé "type d'autorisation OAuth 2.0" ou "flux OAuth 2.0"), est une méthode utilisée par les clients pour obtenir un access token (jeton d'accès) auprès d'un authorization server (serveur d'autorisation). C'est une partie essentielle pour les clients OAuth afin d'authentifier et autoriser les identités.

OpenID Connect (OIDC)

OpenID Connect (OIDC) est une couche d'authentification (identity) au-dessus d'OAuth 2.0, permettant aux clients d'authentifier les utilisateurs et d'obtenir des informations d'identité de manière standardisée.

P

Passkey (Passkey)

Un passkey (Passkey) est une identité résistante au phishing et pratique qui remplace les mots de passe pouvant être utilisée pour la connexion et l'authentification à plusieurs facteurs.

Point de terminaison userinfo (Userinfo endpoint)

Le point de terminaison userinfo est un point de terminaison OpenID Connect (OIDC) qui fournit des informations utilisateur aux clients. C'est un point de terminaison supplémentaire au jeton d'identité (ID token) et permet aux clients de récupérer des informations utilisateur supplémentaires.

Portée (Scope)

La portée (Scope) définit les permissions qu'une application demande à un utilisateur pour accéder à ses ressources protégées. C'est un concept fondamental dans OAuth 2.0 et OIDC (OpenID Connect) qui contrôle le niveau d'accès qu'une application peut avoir aux données d'un utilisateur.

Propriétaire de ressource (Resource owner)

Un propriétaire de ressource est une identité (généralement un utilisateur) qui a la capacité d'accorder l'accès à une ressource protégée. Dans OAuth 2.0, le propriétaire de ressource peut autoriser le client à accéder à ses ressources sur un serveur de ressources en son nom.

Provisionnement juste-à-temps (Just-in-time provisioning)

Le provisionnement juste-à-temps (JIT) est un processus de gestion des identités et des accès (IAM) où les comptes utilisateurs sont créés de manière dynamique et automatique lorsqu'un utilisateur tente d'accéder à un système ou à une application pour la première fois. Cette approche permet de simplifier le processus d'intégration et garantit que les comptes utilisateurs ne sont créés que lorsque cela est nécessaire, réduisant ainsi les charges administratives et améliorant la sécurité.

R

Réclamation (Claim)

Une réclamation (claim) dans un JSON Web Token (JWT) est une paire nom-valeur qui transmet des informations spécifiques. Dans un contexte plus large, une réclamation peut être toute paire nom-valeur qui représente des informations.

Requête d'authentification (Authentication request)

Une requête d'authentification (Authentication request) est une demande OpenID Connect (OIDC) pour authentifier un utilisateur. Elle réutilise la requête d'autorisation OAuth 2.0 et l'étend pour supporter l'authentification.

Rôle (Role)

Un rôle est un ensemble d'autorisations dans les systèmes de contrôle d'accès qui définit quelles actions les utilisateurs peuvent effectuer, offrant un moyen efficace de gérer et d'attribuer les droits d'accès aux utilisateurs.

S

Serveur d'autorisation (Authorization server)

Un serveur d'autorisation est un composant du cadre OAuth 2.0 qui délivre des jetons d'accès (access tokens) aux clients après une authentification et une autorisation réussies. Il est également le fournisseur OpenID (OP) dans OpenID Connect (OIDC) qui délivre des jetons d'identité (ID tokens) aux clients.

Serveur de ressources (Resource server)

Le serveur de ressources désigne le serveur hébergeant les ressources protégées que le client souhaite accéder. Il a également la responsabilité de vérifier les access tokens et de fournir les ressources protégées au client.

Signature Web JSON (JSON Web Signature, JWS)

Signature Web JSON (JWS) est une méthode standard pour signer et vérifier les données au format JSON. Elle est souvent utilisée pour garantir l'intégrité et l'authenticité des Jetons Web JSON (JWT) dans OpenID Connect (OIDC).

SSO d'entreprise (Enterprise SSO)

Le SSO d'entreprise (Enterprise single sign-on) est un type particulier de SSO conçu pour les employés au sein d'une organisation.

U

URI de redirection (Redirect URI)

Une URI de redirection est une URI où le serveur d'autorisation redirige l'agent utilisateur après une demande d'autorisation. C'est un paramètre essentiel dans les autorisations OAuth 2.0 et OpenID Connect (OIDC) qui impliquent une interaction utilisateur.

W

WebAuthn

WebAuthn est une API pour accéder aux justificatifs de clé publique, facilitant la mise en œuvre des passkeys.

Webhook

Les webhooks sont une méthode permettant aux applications web de communiquer entre elles en temps réel. Ils permettent à une application d'envoyer des messages automatisés ou des informations à une autre application lorsqu'un événement spécifique se produit. Contrairement aux APIs traditionnelles où une application doit interroger une autre pour obtenir des mises à jour, les webhooks envoient des données à l'application réceptrice dès que l'événement se produit.