OAuth expliqué simplement : « se connecter avec Google », comment ça marche

Quand vous cliquez sur « Se connecter avec Google », l'application ne reçoit pas votre mot de passe. Elle reçoit une autorisation limitée, délivrée par Google avec votre accord. C'est le principe d'OAuth.

L'analogie : le passe de l'accueil

Imaginez un immeuble de bureaux. Pour que le coursier monte au 4e étage, vous n'allez pas lui confier la clé de tout l'immeuble. Vous allez à l'accueil, qui lui remet un passe : valable pour un étage, pour la journée, et révocable.

OAuth, c'est cet accueil. Le coursier, c'est l'application ; l'accueil, c'est le service qui connaît votre compte (Google, Microsoft, GitHub…) ; le passe, c'est un jeton.

Le déroulement, en quatre temps

1. L'application vous redirige vers le service de confiance.
2. Vous vous y connectez, chez lui, et il vous demande ce que vous acceptez de partager (votre nom, votre adresse e-mail, votre agenda…). Ces droits s'appellent des permissions (scopes).
3. Le service renvoie l'application vers son site avec un code à usage unique.
4. L'application échange ce code, côté serveur, contre un jeton qui lui permet seulement ce que vous avez accepté.

À aucun moment votre mot de passe ne passe par l'application.

Précision utile

OAuth gère à l'origine l'autorisation (« cette application peut-elle faire ceci ? »). Pour répondre à « qui est cette personne ? », on ajoute généralement une couche standard appelée OpenID Connect. Le bouton de connexion s'appuie sur les deux.

Les bons réflexes

• Demandez le minimum de permissions. Chaque permission en plus est un risque en plus.
• Déclarez précisément les adresses de retour autorisées chez le service, sans jokers.
• Gardez le secret de l'application côté serveur, jamais dans le code envoyé au navigateur ; voir les clés API exposées.
• Utilisez la bibliothèque éprouvée de votre technologie plutôt que d'écrire le dialogue vous-même : les détails sont nombreux et fragiles.

Côté utilisateur

Regardez la liste des permissions avant d'accepter, et retirez de temps en temps l'accès des applications que vous n'utilisez plus, depuis les paramètres de votre compte.

À retenir

OAuth remet un passe limité et révocable, jamais votre mot de passe. Pour un produit, c'est souvent plus sûr que de gérer soi-même les mots de passe, à condition de bien le configurer.

Et pour votre produit ?

Une connexion « avec Google » mal configurée (adresses de retour trop larges, permissions inutiles, secret exposé) garde l'air de fonctionner. Un audit de votre application passe ces points en revue. Si vous voulez en discuter, prenons 30 minutes.

À lire aussi : session ou JWT, le hachage de mot de passe et cet article sur les API.