La pierre angulaire étant le protocole OAuth2, qui est un framework d’autorisation et qui peut être étendu pour prendre en charge l’authentification via le protocole OpenID Connect. Ces protocoles simples sont bien éloignés des solutions complexes généralement utilisées par les entreprises (WS-Security, SAML2...).
En bref.
Dans cette refcard, nous revenons sur les principes de sécurisation. Nous expliquons quels protocols utiliser et quels protocoles ne pas utiliser. Nous revenons sur les “flow” OAuth2 et leur contexte d’utilisation. Nous expliquons le principe du “scoping” qui est souvent mal utilisé, détaillons les principes du protocole OpenId Connect, de JWT et des claims. Enfin nous revenons sur les erreurs que nous avons souvent constaté sur le terrain concernant la sécurisation d’APIs.
