Authentification et autorisation pour les applications web

Authentification et autorisation : Qui êtes-vous et que pouvez-vous faire ?

L'authentification consiste à vérifier qui est quelqu'un — généralement par un nom d'utilisateur et un mot de passe, une connexion sociale ou une empreinte digitale. L'autorisation concerne ce qu'une personne est autorisée à faire — les pages auxquelles elle peut accéder, les actions qu'elle peut effectuer. Les deux sont essentiels pour toute application qui a des utilisateurs.

Comment fonctionne l'authentification

L'approche traditionnelle utilise des sessions. Lorsque vous vous connectez, le serveur crée un enregistrement de session dans une base de données ou un cache, et envoie un cookie contenant l'ID de session à votre navigateur. Sur les requêtes suivantes, le navigateur envoie le cookie et le serveur consulte la session pour savoir qui vous êtes. Cette approche est simple et sécurisée, mais nécessite un stockage côté serveur.

Une approche plus moderne utilise les JSON Web Tokens (JWT). Lorsque vous vous connectez, le serveur crée un jeton signé contenant votre identité et vos autorisations. Le jeton est envoyé au client, qui le stocke et l'envoie avec chaque requête. Le serveur peut vérifier le jeton sans rien chercher dans une base de données — le jeton lui-même contient les informations. C'est sans état et s'adapte bien, mais les jetons ne peuvent pas être révoqués facilement.

OAuth 2.0 et connexion sociale

OAuth 2.0 est le standard qui vous permet de vous connecter avec Google, GitHub ou d'autres fournisseurs. Votre application redirige l'utilisateur vers le fournisseur, qui demande la permission. Si l'utilisateur l'accorde, le fournisseur renvoie un code que votre application échange contre des jetons. C'est plus sécurisé que de gérer les mots de passe vous-même, et les utilisateurs apprécient de ne pas avoir à créer un autre compte.

OpenID Connect ajoute une couche d'identité au-dessus d'OAuth 2.0, fournissant un moyen standardisé d'obtenir les informations de profil de l'utilisateur. La plupart des systèmes d'authentification modernes implémentent les deux.

Authentification multi-facteurs

Les mots de passe seuls ne suffisent pas. Les gens réutilisent les mots de passe, tombent dans le piège du phishing et utilisent des mots de passe faibles. L'authentification multi-facteurs (MFA) ajoute une deuxième couche de sécurité. La forme la plus courante est le mot de passe unique basé sur le temps (TOTP) provenant d'une application d'authentification. Plus sécurisés sont les clés de sécurité matérielles et les passkeys, qui résistent au phishing et ne peuvent pas être devinés.

Autorisation : Contrôler l'accès

Une fois que vous savez qui est quelqu'un, vous devez décider ce qu'il peut faire. Le modèle le plus simple est le contrôle d'accès basé sur les rôles (RBAC) : les utilisateurs ont des rôles comme administrateur, éditeur ou spectateur, et chaque rôle a des autorisations spécifiques. Des modèles plus flexibles incluent le contrôle d'accès basé sur les attributs (ABAC), qui prend en compte les attributs de l'utilisateur, de la ressource et de l'environnement pour prendre des décisions.

Utilisation des fournisseurs d'authentification

Construire l'authentification à partir de zéro est complexe et risqué. Les fournisseurs modernes comme Auth0, Clerk et Supabase Auth gèrent les parties difficiles — le hachage des mots de passe, la gestion des sessions, la connexion sociale, l'authentification multi-facteurs et la surveillance de la sécurité. Ils fournissent des SDK qui s'intègrent à votre frontend et backend, et ils gèrent les meilleures pratiques de sécurité prêtes à l'emploi. Pour la plupart des projets, utiliser un fournisseur est le bon choix.