Authentification basée sur un jeton

L’authentification basée sur un jeton est le processus consistant à vérifier l’identité d’un utilisateur et de lui délivrer un jeton lui permettant d’accéder à des ressources spécifiques pendant une durée limitée.

Une fois que les identifiants de l’utilisateur ont été validés, un jeton est délivré pour une durée limitée (appelée session d’utilisateur) qui donne à l’utilisateur accès à un ensemble spécifique de sites, d’applications ou d’autres ressources en fonction du niveau d’autorisations déterminé par le jeton.

L’utilisateur n’a pas à re-saisir ses identifiants à chaque fois qu’il veut demander d’accéder à certaines ressources protégées par le jeton. L’utilisateur ne doit se connecter qu’une seule fois par session. Tant que la session est active, le jeton peut être utilisé pour une authentification en continu. Étant donné que les jetons expirent lorsque la session est terminée, l’authentification basée sur un jeton ajoute un niveau de protection supplémentaire aux comptes de l’utilisateur.

Par rapport à l’authentification standard basée sur un mot de passe, les administrateurs ont un plus grand contrôle sur les jetons d’authentification. Il appartient aux administrateurs de déterminer la durée des sessions des jetons et les caractéristiques précises des transactions des jetons. Les administrateurs peuvent réinitialiser les jetons lorsqu’un utilisateur se déconnecte ou peuvent fixer des limites de temps spécifiques durant lesquelles le jeton reste actif pendant une session donnée.

Remarque : Il existe plusieurs types de jetons d’authentification pouvant être utilisés en fonction des besoins de votre entreprise. Par exemple, choisir entre un jeton OAuth, un jeton SAML ou un jeton web JSON (JWT) dépend de la situation et de vos cas d’usage.

Comment l’authentification par jeton fonctionne-t-elle ?

Le processus d’authentification basée sur un certificat est généralement le suivant :
 

1. Un utilisateur demande à accéder à un serveur, un site, une application ou une ressource protégés et est invité à s’authentifier.
   
   
2. Le serveur vérifie les identifiants de l’utilisateur pour savoir s’il est bien celui qu’il prétend être.
   
   
3. Après cette vérification, le serveur délivre à l’utilisateur un jeton de sécurité qui lui donne accès à ses ressources autorisées.
   
   
4. Le jeton est stocké dans le navigateur de l’utilisateur pendant la durée de la session et il est référencé à chaque fois que l’utilisateur essaye d’accéder à une partie différente du serveur. L’accès de l’utilisateur à certaines ressources est déterminé en fonction de l’autorisation construite dans le jeton.
   
   
5. La session du jeton expire lorsque la durée de la session est écoulée, que l’utilisateur se déconnecte ou que la connexion au serveur est coupée.