FRENES

Glossaire · Sécurité et risques

OAuth

OAuth est un cadre d’autorisation qui permet à une application d’obtenir un accès limité à un service. Dans un usage courant, vous autorisez par exemple un agent à consulter votre calendrier sans lui communiquer votre mot de passe, grâce à des jetons délivrés par le service.

OAuth : l'explication

Dans un parcours courant, l’application vous redirige vers le service qui détient vos données. Vous vous y connectez si nécessaire, puis examinez les accès demandés. Après autorisation, l’application reçoit un moyen d’obtenir un jeton qu’elle présentera au service pour réaliser les opérations permises. Le mot de passe reste auprès du service concerné. Le cadre décrit ce principe de délégation ici : https://www.rfc-editor.org/rfc/rfc6749.html. Les détails du parcours et les protections dépendent du type d’application et de sa configuration.

OAuth sert notamment à connecter des applications sans partager les identifiants principaux du compte. Un agent peut ainsi consulter des fichiers ou ajouter des événements avec des permissions définies par le service. Ces permissions sont souvent exprimées par des portées d’accès. Leur précision varie : une autorisation peut concerner la lecture, la modification ou un ensemble plus large de ressources. Il faut donc lire ce que l’écran de consentement permet réellement, au-delà du simple nom de l’application.

OAuth organise l’autorisation ; il ne définit pas à lui seul un système complet de connexion attestant votre identité auprès de l’application. OpenID Connect ajoute une couche d’identité pour cet usage. Les jetons d’accès restent sensibles, même si votre mot de passe n’est pas partagé. Certains accès peuvent être renouvelés sans nouvelle intervention, selon les permissions accordées. Vous devez donc pouvoir consulter les applications connectées et comprendre comment révoquer leurs droits lorsque leur présence n’est plus nécessaire.

Un exemple concret

Vous connectez un assistant à votre calendrier pour préparer votre semaine. Le service de calendrier affiche les permissions demandées. Vous acceptez la lecture des événements, mais l’intégration proposée ne prévoit pas leur modification. L’assistant peut alors repérer vos créneaux libres et suggérer un programme. Pour créer réellement un rendez-vous, il faudra un accès adapté. Si vous déconnectez ensuite l’application, vérifiez que l’autorisation a bien été révoquée auprès du service.

Pourquoi c'est important

OAuth compte parce qu’un agent connecté peut agir sur des ressources personnelles ou professionnelles. Avant d’autoriser l’accès, comparez les permissions demandées à la tâche attendue. Vérifiez si la connexion peut durer, si l’organisation impose des règles et comment couper l’accès. Un parcours OAuth évite de transmettre votre mot de passe à l’application, mais ne garantit ni sa fiabilité ni un usage raisonnable des données accessibles.

Idées reçues

  • Un bouton de connexion utilisant OAuth ne signifie pas que l’application reçoit votre mot de passe : le service peut lui délivrer des jetons distincts, dont les droits et la durée dépendent de l’autorisation accordée et de sa configuration.
  • Une autorisation OAuth n’est pas automatiquement minimale ou inoffensive : une application peut demander des permissions larges, et vous devez vérifier leur portée même lorsque l’écran de consentement est hébergé par un service que vous connaissez.

Autres termes : sécurité et risques

garde-fous
Les garde-fous sont des mesures destinées à encadrer le comportement d’un système d’IA et les actions qu’il peut effectuer.
bac à sable
Un bac à sable est un environnement d’exécution qui limite ce qu’un programme peut atteindre ou modifier en dehors de son périmètre.
moindre privilège
Le moindre privilège est un principe de sécurité qui consiste à donner uniquement les accès nécessaires à une tâche.
injection de prompt
Une injection de prompt est une tentative de détourner un système d’IA au moyen d’instructions introduites dans le contenu qu’il traite.
clé API
Une clé API est un identifiant transmis par un programme pour accéder à certains services en ligne.

Où le site en parle

Le terme apparaît dans 37 pages du site. Quelques-unes :

Pour aller plus loin

Questions fréquentes

OAuth prouve-t-il mon identité ?

OAuth concerne principalement l’autorisation d’accès. Pour une connexion qui transmet une identité vérifiable à l’application, un protocole complémentaire comme OpenID Connect peut être utilisé. Les interfaces regroupent parfois ces fonctions sous un même bouton de connexion.

Puis-je retirer mon autorisation ?

Les services proposent généralement une gestion des applications connectées. Vous pouvez y révoquer un accès, selon les possibilités du service. Cette révocation n’efface pas automatiquement les données que l’application avait déjà copiées avant la coupure.

L’accès expire-t-il automatiquement ?

Un jeton d’accès peut avoir une durée limitée, mais l’application peut parfois en obtenir un nouveau grâce à un mécanisme de renouvellement. L’expiration d’un jeton ne signifie donc pas toujours que la connexion globale est terminée.

Neutralité. Aucun lien d'affiliation. Aucun éditeur ne paie pour être évalué, noté ou classé. Les évaluations sont dirigées par François Chollet, neutres et factuelles, et chaque donnée est datée et sourcée. Comment nous notons