OAuth 2.0

OAuth 2.0 sépare le propriétaire de la ressource (utilisateur), le client (application), le serveur d'autorisation (émet les jetons) et le serveur de ressources (héberge l'API). Le client obtient un jeton d'accès via un flux défini — code d'autorisation avec PKCE pour les applications interactives, client credentials pour les appels service-à-service, device code pour les appareils sans entrée — puis appelle l'API en présentant ce jeton, généralement en bearer. Les scopes et l'audience délimitent ce que le jeton autorise. OAuth 2.0 est la base d'OpenID Connect, de l'accès aux API cloud et des boutons « Connexion avec… ». Les pièges classiques incluent l'usage du flux implicit, l'absence de PKCE, une validation laxiste des redirect URI ou un stockage non sécurisé des jetons.