Vous êtes ici :
Gestion des stratégies d'accès OAuth pour une application connectée : Contrôle de la politique d'expiration des jetons d'actualisation
Cette stratégie garantit qu'un jeton d'actualisation est strictement « à usage unique », ce qui signifie qu'il est instantanément invalidé dès qu'il est utilisé pour demander un nouveau jeton d'accès.
Nom du contrôle
Gestion des stratégies d'accès OAuth pour une application connectée : Politique d'expiration du jeton d'actualisation
Configuration recommandée
Politique de jeton d'actualisation : expire immédiatement le jeton d'actualisation.
Vue d'ensemble du contrôle
Cette stratégie garantit qu'un jeton d'actualisation est strictement « à usage unique », ce qui signifie qu'il est instantanément invalidé dès qu'il est utilisé pour demander un nouveau jeton d'accès.
Risque de sécurité s'il n'est pas configuré
Sans expiration immédiate, un jeton d'actualisation reste valide pour plusieurs utilisations jusqu'à ce qu'il atteigne son échéance temporelle, laissant une fenêtre de possibilité à un assaillant de réutiliser un jeton volé même lorsque l'utilisateur légitime a déjà actualisé sa session.
Scénarios de menace
Un assaillant intercepte un jeton d'actualisation valide à partir d'un fichier journaux réseau ou d'un stockage local, et l'utilise pour générer plusieurs jetons d'accès à partir d'un autre appareil avant que le jeton d'origine n'expire naturellement.
Plage de score CVSS estimée
Critique (9,0 à 10,0).
Considérations relatives à l'impact sur le risque
Ne pas expirer immédiatement les jetons permet un « piratage de session simultané », dans lequel l'utilisateur légitime et l'assaillant peuvent conserver simultanément un accès actif et indépendant au même compte.
Risque plus élevé quand
Pour les clients publics (applications mobiles ou navigateur) qui n'utilisent pas PKCE, car aucune preuve cryptographique secondaire n'est requise pour « réutiliser » le jeton d'actualisation encore valide.
Risque faible quand
La rotation du jeton d'actualisation est déjà activée, car la rotation applique techniquement l'expiration immédiate de l'ancien jeton dans le cadre de sa logique standard de "swap".
Considérations relatives à l'entreprise et à l'intégration
L'implémentation de l'expiration immédiate nécessite que l'application cliente dispose d'un traitement robuste des erreurs et d'une sauvegarde fiable et synchrone des données pour s'assurer qu'elle ne perd pas le nouveau jeton émis pendant l'échange, ce qui entraînerait un verrouillage immédiat de l'utilisateur.
Remédiation recommandée
Accédez aux stratégies OAuth de l'application connectée, puis définissez la stratégie de jeton d'actualisation sur « Expirer immédiatement le jeton d'actualisation ».
Guide d'examen sanitaire de sécurité
Security Health Review identifie l'expiration immédiate comme un contrôle « anti-relecture » critique afin que tout jeton compromis ait l'utilité la plus courte possible pour un adversaire.
