Qu'est-ce que l'authentification OAuth et comment fonctionne-t-elle?

OAuth est une norme ouverte d’autorisation. Elle permet à un utilisateur de donner un accès limité à ses données stockées sur un autre service (serveur de ressources) à une application tierce, sans avoir à transmettre ses identifiants (nom d’utilisateur/mot de passe) à cette application.

Le fonctionnement d’OAuth repose sur la délivrance de "tokens d’accès" plutôt que sur des identifiants. Le flux typique se déroule comme suit :

1. Demande d’autorisation : L’utilisateur tente d’effectuer une action dans une application tierce nécessitant l’accès aux données du serveur de ressources. L’application initie une demande d’autorisation au serveur d’autorisation du serveur de ressources.
2. Redirection vers le serveur d’autorisation : L’utilisateur est redirigé vers la page du serveur d’autorisation.
3. Authentification de l’utilisateur : L’utilisateur s’authentifie sur le serveur d’autorisation (si ce n’est pas déjà fait).
4. Consentement de l’utilisateur : Le serveur d’autorisation demande à l’utilisateur l’autorisation d’accorder à l’application tierce un certain niveau d’accès à ses données (scopes). L’utilisateur accepte ou refuse la demande.
5. Délivrance du code d’autorisation : Si l’utilisateur accepte, le serveur d’autorisation redirige l’utilisateur de retour vers l’application tierce, en fournissant un "code d’autorisation".
6. Échange du code d’autorisation contre un token d’accès : L’application tierce, ayant reçu le code d’autorisation, effectue une requête directement au serveur d’autorisation pour échanger ce code contre un "token d’accès" et éventuellement un "token de rafraîchissement". Cette requête se fait entre serveurs, évitant le navigateur de l’utilisateur, ce qui augmente la sécurité.
7. Accès aux données : L’application tierce utilise le token d’accès obtenu pour faire des requêtes au serveur de ressources au nom de l’utilisateur. Chaque requête inclut le token dans l’en-tête.
8. Validation du token : Le serveur de ressources valide le token d’accès et, s’il est valide et correspond aux scopes demandés, accorde l’accès aux données.

OAuth propose plusieurs flux (flows), adaptés à différents scénarios, par exemple :

• Authorization Code Flow : Le plus sécurisé, utilisé pour les applications web avec backend.
• Implicit Flow : Obsolète, utilisé pour les applications web sans backend.
• Client Credentials Flow : Pour les applications accédant à leurs propres ressources, et non à celles de l’utilisateur.
• Resource Owner Password Credentials Flow : Non recommandé, transmet les identifiants de l’utilisateur à l’application.

(Exemple de Authorization Code Flow)

En C#, pour implémenter OAuth dans des applications web, on utilise souvent des bibliothèques comme ASP.NET Core Identity avec différents fournisseurs (Google, Facebook, etc.), ou des bibliothèques comme IdentityServer pour créer un propre serveur d’autorisation.