OAuth : un protocole pour partager l'accès aux API

OAuth est un protocole qui permet de donner accès à un service web (par exemple un site comme Facebook ou twitter) à une API, sans avoir besoin de partager les identifiants de connexion (login et mot de passe d'un compte twitter ou facebook, pour rester dans le même exemple).

L'intérêt de ce système c'est bien sûr la sécurité, puisque les identifiants de connexion restent secrets et connus uniquement du propriétaire du compte.

Comment ça marche ?

Un client (un site web ou une application) qui souhaite utiliser un service (comme facebook) pour le compte d'un utilisateur, va demander à facebook l'accès à certaines fonctionnalités du compte de cet utilisateur. Facebook va alors demander son accord à l'utilisateur en question, et si celui-ci accepte, le site client va recevoir une clé d'autorisation unique qui lui permettra de manipuler le compte de l'utilisateur.

Si l'utilisateur change d'avis, il peut le faire, Facebook va alors supprimer la clé d'autorisation, et le site client n'aura plus accès au compte.

Différence entre OAuth 1.0 et OAuth 2.0

La première version d'OAuth (1.0) a été créé en 2007 par des ingénieurs travaillants dans les grandes startup américaines d'internet (Google, Twitter, Facebook...).

Cette page peut vous intéresser : ouvrir plusieurs fenêtres excel en même temps à lire tout de suite !

Depuis, une nouvelle version du protocole est en cours d'élaboration : OAuth 2.0. Mais l'un de ses principaux participants, Eran Hammer, a claqué la porte du groupe de travail chargé de définir le nouveau protocole. Apparemment OAuth 2.0 serait une usine à gaz.

Pour l'avoir utilisé via les API Google, je confirme qu'OAuth 2.0 est assez complexe à comprendre.

Encore faim ? allez lire ça : chatte sorcière !