OAuth 2.0 & OIDC : Sécurité de l'authentification moderne
OAuth alimente la connexion « Se connecter avec Google » sur tout le web — et est fréquemment mal configuré. Apprenez son fonctionnement et les pièges de sécurité courants.
Table des matières
Qu'est-ce qu'OAuth 2.0 ?
OAuth 2.0 est un cadre d'autorisation qui permet à des applications tierces d'accéder à des ressources en votre nom — sans partager votre mot de passe. Quand vous cliquez « Se connecter avec Google », vous utilisez OAuth.
Comment OAuth fonctionne (simplifié)
- Vous cliquez « Se connecter avec Google » sur l'application tierce
- Vous êtes redirigé vers Google pour vous authentifier
- Google vous demande si vous acceptez de partager certaines données
- Si oui, Google émet un jeton d'accès pour l'application
- L'application utilise ce jeton pour accéder aux données autorisées
Mauvaises configurations courantes
Redirect URI trop permissifs : Si l'URI de redirection accepte des wildcards ou des domaines trop larges, un attaquant peut voler le code d'autorisation.
Scopes excessifs : Demandez uniquement les permissions dont vous avez besoin. Une application de recettes n'a pas besoin d'accéder à vos contacts.
Absence de validation de l'état :
Le paramètre state prévient les attaques CSRF. Ne l'omettez jamais.
OIDC (OpenID Connect)
OIDC est une couche d'identité au-dessus d'OAuth 2.0. Il ajoute un ID Token (JWT) qui contient des informations sur l'utilisateur authentifié.
Pour les utilisateurs
- Vérifiez quelles permissions vous accordez à chaque application
- Révoquez régulièrement l'accès des applications tierces inutilisées dans les paramètres de votre compte Google/Microsoft/Apple