Aller au contenu principal

RFC 6750 - Cadre d'autorisation OAuth 2.0 : Utilisation des jetons porteur

Date de publication : Octobre 2012
Statut : Standards Track
Auteurs : M. Jones (Microsoft), D. Hardt (Independent)

Résumé (Abstract)​

Cette spécification décrit comment utiliser les jetons porteur (Bearer Token) dans les requêtes HTTP pour accéder aux ressources protégées par OAuth 2.0. Toute partie en possession d'un jeton porteur (un « porteur ») peut l'utiliser pour accéder aux ressources associées (sans démontrer la possession d'une clé cryptographique). Pour éviter les abus, les jetons porteur doivent être protégés contre la divulgation lors du stockage et du transport.

Table des matières (Table of Contents)​

Annexes (Appendices)​

Ressources connexes​

Référence rapide​

Qu'est-ce qu'un jeton porteur ?​

Un jeton porteur (Bearer Token) est un jeton de sécurité avec la propriété que toute partie en possession du jeton (un « porteur ») peut l'utiliser pour accéder aux ressources associées. Contrairement à d'autres types de jetons, l'utilisation d'un jeton porteur ne nécessite pas que le porteur prouve la possession de matériel de clé cryptographique.

Trois méthodes d'utilisation des jetons porteur​

  1. En-tête de requête Authorization (Recommandé) - Authorization: Bearer <token>
  2. Paramètre de corps encodé en formulaire - Paramètre access_token dans le corps de la requête POST
  3. Paramètre de requête URI (Non recommandé) - ?access_token=<token> dans l'URL

Pourquoi la protection est-elle nécessaire ?​

Puisque toute personne possédant un jeton porteur peut l'utiliser, il est obligatoire de :

  • ✅ Utiliser HTTPS pour la transmission
  • ✅ Définir des délais d'expiration raisonnables
  • ✅ Éviter de passer les jetons dans les URL (ils seront enregistrés dans les journaux)
  • ✅ Stocker les jetons en toute sécurité

Important : Ce RFC est un document complémentaire à RFC 6749 (OAuth 2.0), définissant comment utiliser les jetons d'accès émis par OAuth 2.0.

Dernière mise à jour le