Définition simple
OAuth 2.0 permet à une application d'obtenir un accès limité à un service sans recevoir le mot de passe de son utilisateur.
Définition technique
OAuth 2.0 définit des flux d'autorisation et des jetons d'accès dont les portées limitent les permissions accordées. Authorization Code avec PKCE est adapté aux clients modernes ; OAuth seul ne prouve pas l'identité de l'utilisateur, rôle assuré notamment par OpenID Connect.
À quoi cela sert ?
Autoriser une application à accéder à une API avec des permissions précises.
Exemple concret
Une application peut recevoir un jeton pour lire un calendrier sans connaître le mot de passe Microsoft 365 de l’utilisateur.
Problèmes fréquents
- Scopes trop larges
- Jeton exposé
- Mauvais flux d’autorisation
Termes associés
Concepts associés
À retenir : OAuth 2.0 délègue des autorisations d’accès à des ressources ; l’authentification de l’utilisateur relève notamment d’OpenID Connect.