OAuth2

Définition

Cadre d'autorisation déléguée : une application accède aux ressources d'un utilisateur sans connaître son mot de passe. OAuth 2.1 (brouillon IETF draft-ietf-oauth-v2-1-15 du 2 mars 2026) consolide les bonnes pratiques : PKCE obligatoire pour le flux Authorization Code, suppression des flux Implicit et Password, comparaison exacte des redirect_uri, plus de jeton bearer dans l'URL.

Analogie

Donner un passe limité au plombier pour accéder à la salle de bain sans lui donner les clés de toute la maison.

Exemple de code

// Authorization Code flow (redirect)
const authUrl = `https://auth.example.com/authorize
  ?response_type=code
  &client_id=${CLIENT_ID}
  &redirect_uri=${REDIRECT}
  &scope=read:profile
  &state=${csrfToken}`;

Cas d'usage

Permettre le 'Login with Google/GitHub' ou accéder aux APIs tierces au nom de l'utilisateur.

Anti-pattern

Utiliser le flux Implicit ou Password, tous deux retirés d'OAuth 2.1, ou omettre PKCE même pour un client confidentiel.

Définition

Analogie

Exemple de code

Cas d'usage

Anti-pattern

Termes liés

Sources