Un serveur OAuth hébergé pour vos API et les applications qui les appellent
Un serveur OAuth, aussi appelé serveur d'autorisation, émet les jetons d'accès que vos API acceptent et les jetons de rafraîchissement qui gardent un utilisateur connecté. Skycloak Platform en exploite un pour chacun de vos tenants, conforme à OAuth 2.1 : votre équipe décide de ce que chaque jeton permet, et la plateforme se charge de les émettre, de les renouveler et de les révoquer.
Ce dont un serveur OAuth est responsable
OAuth sépare le service qui accorde l'accès des services auxquels on accède. Le serveur OAuth connecte l'utilisateur, demande son consentement si besoin et émet un jeton d'accès qui liste les scopes autorisés pour le client. Vos API ne font que vérifier ce jeton : sa signature, son audience, son expiration et ses scopes.
C'est cette séparation qui permet à une application web, une application mobile et une intégration partenaire d'appeler la même API en sécurité, chacune avec son client et ses limites, sans que l'API sache quoi que ce soit des mots de passe ou des sessions.
Des jetons qui restent sûrs dans le temps
La plateforme suit OAuth 2.1 : chaque client utilise le flux par code d'autorisation avec PKCE, et les anciens flux implicite et par mot de passe ne sont pas proposés. Les jetons de rafraîchissement sont de deux sortes par conception : un jeton de session qui prend fin avec la session de connexion du navigateur, et un jeton hors ligne pour les applications mobiles et durables, renouvelé à chaque usage et révoqué si un ancien est rejoué.
Les requêtes d'autorisation poussées (PAR), DPoP, qui lie un jeton au client qui le détient, et l'authentification des clients par private key JWT sont au plan de la première version. La plateforme renouvelle les clés de signature et les publie avant usage : vos API continuent de valider les jetons pendant un changement de clé.
Pourquoi ne pas exploiter le vôtre
Les serveurs OAuth open source sont de bons logiciels, mais en exploiter un est un métier : une base de données hautement disponible, le stockage des clés, les mises à jour à chaque vulnérabilité publiée, et quelqu'un d'astreinte quand l'émission des jetons ralentit et que tous les clients échouent en même temps.
Sur la plateforme, ce métier est celui de Skycloak. Votre tenant tourne aux États-Unis ou dans l'Union européenne, et votre équipe travaille avec le protocole standard, ce qui veut aussi dire que vous pourrez changer de serveur OAuth plus tard sans réécrire vos API.
Questions fréquentes
Un serveur OAuth est-il la même chose qu'un fournisseur OpenID Connect ?
Presque. OpenID Connect ajoute la connexion et un jeton d'identité au-dessus d'OAuth. La plateforme fait les deux : le même tenant connecte les utilisateurs et autorise les appels à vos API.
Comment mes API valident-elles les jetons ?
Elles récupèrent une fois les clés de signature publiées du tenant, les mettent en cache et vérifient localement la signature, l'audience, l'expiration et les scopes de chaque jeton d'accès.
Découvrez Skycloak Platform par vous-même
Réservez une démo : nous vous présentons la plateforme en partant de vos propres parcours de connexion.