L'authentification
Savoir qui est l'utilisateur et ce qu'il a le droit de faire : sessions et cookies, JWT, OAuth et OpenID Connect, mots de passe, et les failles les plus courantes.
- 32 cartes
- 3 thèmes
- Gratuit
Le programme, thème par thème
Le poids de chaque thème suit celui que lui donne l'examen.
- Notions
- Mises en situation
- Compromis et pannes
Quelques cartes du deck
Authentification : de quoi s'agit-il ?
Voir la réponse
Vérifier qui est l'utilisateur.
C'est la première étape ; elle ne dit rien de ses droits.
Vous voulez proposer « Se connecter avec un compte externe » et connaître l'identité de l'utilisateur. Que mettez-vous en place ?
- OpenID Connect
- OAuth 2.0 seul
- Un webhook
- Un cookie sans session
Voir la réponse
OpenID Connect
Le jeton d'identité d'OpenID Connect prouve qui est l'utilisateur.
Autorisation : de quoi s'agit-il ?
Voir la réponse
Décider ce que l'utilisateur authentifié a le droit de faire.
Elle se vérifie côté serveur, sur chaque ressource.
Quel est le principal inconvénient d'un JWT ?
- Difficile à révoquer avant son expiration sans état côté serveur
- Il est illisible
- Il exige une base de données
- Il ne fonctionne qu'en HTTP
Voir la réponse
Difficile à révoquer avant son expiration sans état côté serveur
Le serveur l'accepte tant que la signature est valide et la date non dépassée.