Authentification OAuth2 : implémentation d'une connexion sécurisée avec Authentik

L'authentification est le composant le plus critique en matière de sécurité de toute application Web, mais 61 % des violations de données impliquent des informations d'identification compromises. La mise en œuvre d'OAuth2 avec un fournisseur d'identité dédié comme Authentik sépare les problèmes d'authentification de la logique applicative, permettant l'authentification unique, l'authentification multifacteur et la gestion centralisée des utilisateurs.

Points clés à retenir

• Le flux de code d'autorisation OAuth2 avec PKCE est le modèle recommandé pour les applications Web
• Authentik fournit un fournisseur d'identité auto-hébergé avec prise en charge OIDC, SAML et LDAP
• Les cookies HttpOnly pour le stockage des jetons empêchent le vol de jetons basé sur XSS
• Les codes d'échange uniques avec un TTL court empêchent l'exposition des jetons dans les URL

---

Présentation du flux OAuth2

Flux de code d'autorisation avec PKCE

1. L'utilisateur clique sur Connexion : l'application redirige vers le point de terminaison d'autorisation Authentik
2. L'utilisateur s'authentifie : informations d'identification (et MFA) saisies sur la page de connexion Authentik
3. Code d'autorisation émis : Authentik redirige avec un code de courte durée
4. Échange de jetons : le backend échange du code contre des jetons d'accès et d'actualisation
5. Session établie : jetons stockés dans les cookies HttpOnly

Ce flux garantit que les informations d'identification ne touchent jamais votre application, que les jetons s'échangent de serveur à serveur et que le code d'autorisation est à usage unique avec un TTL court.

---

Configuration authentique

Configuration du fournisseur

Créez un fournisseur OAuth2/OIDC dans Authentik avec un type de client confidentiel, un ID client unique, un secret client fort, des URI de redirection exacts, des étendues openid/profil/e-mail et des durées de vie de jeton appropriées (accès : 5 à 15 minutes, actualisation : 7 à 30 jours).

Liez le fournisseur à une application Authentik pour contrôler l'accès via des politiques basées sur l'appartenance à un groupe, des attributs ou des restrictions IP.

Authentification multifacteur

Configurez les options MFA : TOTP (Google Authenticator, Authy), WebAuthn (clés de sécurité matérielles, biométrie) et codes SMS/E-mail comme solution de secours.

---

Implémentation back-end

Redirection d'autorisation

Redirigez les utilisateurs vers Authentik avec client_id, response_type=code, redirect_uri, scopes, un paramètre d'état aléatoire (protection CSRF) et PKCE code_challenge.

Échange de jetons

Lors du rappel, échangez le code d'autorisation de serveur à serveur avec grant_type=authorization_code, le code reçu, redirect_uri, les informations d'identification du client et PKCE code_verifier. La réponse contient des informations access_token,fresh_token, id_token et expiration.

Stockage sécurisé des jetons

Ne stockez jamais de jetons dans localStorage ou sessionStorage : ils sont accessibles à n'importe quel JavaScript, y compris les charges utiles XSS. Utilisez les cookies HttpOnly avec l'indicateur Secure, SameSite=Lax et l'expiration appropriée.

---

Intégration frontale

Flux de connexion

L'utilisateur clique sur Se connecter, le frontend redirige vers l'URL d'autorisation, l'utilisateur s'authentifie sur Authentik (votre application ne voit jamais les informations d'identification), Authentik redirige avec le code, le backend échange le code et définit les cookies HttpOnly, le frontend appelle le point de terminaison de session pour les données utilisateur actuelles.

Gestion des sessions

Créez un hook useAuth() qui appelle GET /auth/session lors du montage. Renvoie les données utilisateur si elles sont authentifiées, redirigez vers la connexion sinon. Lors de la déconnexion, appelez POST /auth/logout pour effacer les cookies.

Itinéraires protégés

Utilisez un middleware pour rediriger les utilisateurs non authentifiés avant le rendu de la page. Dans Next.js, le fichier proxy.ts gère cela en vérifiant les cookies d'authentification sur les routes protégées.

---

Bonnes pratiques de sécurité

Sécurité des jetons

• Cookies HttpOnly exclusivement - n'exposez jamais les jetons à JavaScript
• Durées de vie courtes des jetons d'accès (5-15 minutes)
• Rafraîchissement du jeton avec rotation (nouveau jeton de rafraîchissement à chaque utilisation)
• Secret client stocké uniquement sur le backend, jamais dans le code frontend

Sécurité de redirection

• Valider toutes les URL de redirection par rapport à une liste autorisée
• Rejeter les redirections commençant par // (URL relatives au protocole)
• N'incluez jamais de jetons dans les paramètres d'URL
• Utilisez des codes d'échange uniques avec un TTL de 60 secondes

Sécurité des sessions

• Régénérer les identifiants de session après authentification
• Implémenter un délai d'inactivité (30 minutes) et un délai d'attente absolu (8 heures)
• Enregistrez tous les événements d'authentification pour les pistes d'audit
• Tentatives de connexion à débit limité pour empêcher la force brute

---

Fonctionnalités avancées Authentik

Inscription des utilisateurs

Configurez l'inscription des utilisateurs en libre-service avec des flux d'inscription personnalisables. Définissez les champs obligatoires, les étapes de vérification des e-mails et les workflows d'approbation pour les nouveaux comptes.

Personnalisation de la marque

Appliquez des CSS, des logos et des thèmes personnalisés à la page de connexion Authentik pour une expérience de marque transparente. La marque personnalisée doit être appliquée via les montages de volumes CSS ou le champ branding_custom_css de Django ORM.

Fédération des utilisateurs

Connectez Authentik aux annuaires d'utilisateurs externes via la synchronisation LDAP/Active Directory, permettant aux utilisateurs d'entreprise existants de s'authentifier sans recréation de compte.

---

Questions fréquemment posées

Q : Pourquoi Authentik plutôt qu'Auth0 ou Keycloak ?

Authentik est auto-hébergé (contrôle total des données), open source et dispose d'une interface utilisateur moderne. Auth0 est SaaS avec une tarification croissante par utilisateur. Keycloak est auto-hébergé mais a une courbe d'apprentissage plus abrupte et une interface utilisateur plus ancienne. Authentik équilibre les fonctionnalités, la convivialité et le coût.

Q : Authentik peut-il gérer des milliers d'utilisateurs ?

Oui. Construit sur Django et PostgreSQL, Authentik gère de larges bases d'utilisateurs. Pour plus de 100 000 utilisateurs, assurez-vous de disposer de ressources de base de données adéquates et envisagez une mise à l’échelle horizontale.

Q : Comment implémenter l'authentification unique sur plusieurs applications ?

Configurez chaque application en tant qu'application Authentik distincte avec son propre fournisseur. Les utilisateurs s'authentifient une fois et sont automatiquement connectés à toutes les applications connectées via la session Authentik.

Q : Qu'en est-il de la connexion sociale ?

Authentik prend en charge les sources de connexion sociales prêtes à l'emploi : Google, GitHub, Microsoft et autres fournisseurs OAuth2. Les utilisateurs peuvent associer leurs comptes sociaux à leur identité Authentik pour une connexion pratique.

---

Quelle est la prochaine étape

OAuth2 avec un fournisseur d'identité dédié constitue l'amélioration de sécurité la plus efficace pour la plupart des applications Web. Il élimine la gestion des informations d'identification, active la MFA et fournit une journalisation d'audit centralisée.

Contactez ECOSIRE pour obtenir de l'aide sur la mise en œuvre de l'authentification, ou explorez nos services de mise en œuvre Odoo pour un déploiement ERP sécurisé.

---

Publié par ECOSIRE – aider les entreprises à évoluer grâce à des solutions logicielles d'entreprise.