OAuth 2.0

Définition

OAuth 2.0 est un framework d'autorisation standard (RFC 6749) qui permet à des applications tierces d'obtenir un accès limité aux ressources d'un utilisateur sur un service HTTP, sans que l'utilisateur ne partage ses identifiants. OAuth 2.0 délègue la décision d'accès à l'utilisateur, qui autorise explicitement l'application à accéder à certaines de ses données. La distinction fondamentale entre OAuth 2.0 et les protocoles d'authentification est critique : OAuth 2.0 est un protocole d'autorisation (qui peut faire quoi ?), pas d'authentification (qui est-ce ?). Pour l'authentification, OpenID Connect (OIDC) est construit au-dessus d'OAuth 2.0. Confondre les deux est une source fréquente de vulnérabilités de sécurité. OAuth 2.0 définit plusieurs flows (Grant Types) adaptés à différents scénarios. Le Authorization Code Flow (avec PKCE pour les clients publics) est le flux le plus sécurisé pour les applications web et mobiles : l'utilisateur est redirigé vers le serveur d'autorisation, s'authentifie, autorise l'application, et reçoit un code d'autorisation échangeable contre un access token. Le Client Credentials Flow est utilisé pour les communications machine-à-machine (M2M) sans intervention humaine, avec des credentials clients directement. L'Implicit Flow (maintenant déprécié) exposait les tokens dans l'URL — ne plus utiliser. Les scopes OAuth définissent la granularité des permissions accordées : "read:user", "repo:write", "calendar:read" sont des exemples de scopes GitHub et Google qui permettent aux utilisateurs d'accorder des accès précis sans révéler tous leurs droits. Cette granularité est fondamentale pour le principe du moindre privilège dans les intégrations de services. Les access tokens OAuth 2.0 sont soit des tokens opaques (chaînes aléatoires que le serveur de ressources vérifie via introspection) soit des JWT auto-descriptifs (contenant les informations d'identité et de permissions directement, vérifiables sans appel réseau). Les refresh tokens permettent d'obtenir de nouveaux access tokens sans ré-authentification, avec une durée de vie plus longue. Parmi les vulnérabilités OAuth courantes : le vol de tokens via des redirections ouvertes (open redirect), les attaques CSRF sur le paramètre state, les problèmes de validation du redirect_uri, et les abus de tokens JWT mal validés. PKCE (Proof Key for Code Exchange, RFC 7636) est maintenant obligatoire pour tous les clients publics afin de prévenir les attaques d'interception du code d'autorisation.