Vous êtes ici :
Activation de flux OAuth : Activer le contrôle de flux du porteur JWT
Ce paramètre de sécurité active un flux OAuth 2.0 basé sur un certificat qui permet à une application de s'authentifier en signant un jeton Web JSON (JWT) avec une clé privée au lieu d'utiliser un secret partagé statique.
Nom du contrôle
Applications clientes externes : Activation de flux OAuth : Activer le flux du porteur JWT
Configuration recommandée
Activez Flux du porteur JWT.
Vue d'ensemble du contrôle
Ce paramètre de sécurité active un flux OAuth 2.0 basé sur un certificat qui permet à une application de s'authentifier en signant un jeton Web JSON (JWT) avec une clé privée au lieu d'utiliser un secret partagé statique.
Risque de sécurité s'il n'est pas configuré
Sans le flux de porteur JWT, les intégrations s'appuient souvent sur des méthodes moins sécurisées basées sur le mot de passe ou sur le secret, qui sont vulnérables au bourrage d'identifiants, aux attaques par force brute et à l'exposition accidentelle dans le code source ou les journaux.
Scénarios de menace
Un assaillant intercepte ou découvre un secret client en texte brut et l'utilise pour établir une connexion permanente à l'API, alors qu'un système basé sur JWT demanderait à l'assaillant de posséder le fichier de clé privée hautement protégé.
Plage de score CVSS estimée
Élevée (7,0 à 8,9).
Considérations relatives à l'impact sur le risque
Le recours à des secrets statiques plutôt qu'à la cryptographie asymétrique augmente la probabilité d'une violation de données à long terme, car les secrets compromis sont plus difficiles à détecter et à permuter que les certificats numériques.
Risque plus élevé quand
Si l'utilisateur de l'intégration dispose d'autorisations administratives élevées et que la connexion est établie sur des segments de réseau publics ou non gérés.
Risque faible quand
Si l'organisation utilise déjà un service de gestion des clés robuste pour protéger les clés privées et applique une liste d'autorisations IP stricte pour toutes les requêtes signées JWT entrantes.
Considérations relatives à l'entreprise et à l'intégration
L'implémentation de ce flux nécessite que les développeurs gèrent les certificats numériques et implémentent un code local pour les jetons de signature, ce qui ajoute de la complexité par rapport à la simple authentification basée sur le secret.
Remédiation recommandée
Accédez aux paramètres OAuth de l'application cliente externe, chargez un certificat numérique valide, puis cochez la case pour activer le flux du porteur JWT.
Guide d'examen sanitaire de sécurité
Security Health Review identifie l'utilisation de la cryptographie asymétrique pour l'authentification machine à machine en tant que norme obligatoire pour les environnements de sécurité élevée, de sorte que les identifiants ne peuvent pas être facilement clonés ou interceptés.
