Derniers articles

• Verifying the origin of the request received by a resource server

  31 octobre 2019, par B. Degoy

  The transmission of tokens to protected resources implies that the latters are receptive to tokens of any origin. This presents an opportunity for an attacker (a foreign application) to exploit a compromised or stolen token.
  Once more, the analysis reveals that we are only able to ensure data (…)

• API HTTP REST + TreeQL

  11 octobre 2019, par B. Degoy

  OAuthSD expose maintenant une deuxième API HTTP REST. Comme la première (qui reste disponible) cette API permet d’automatiser certaines tâches autour du serveur d’authentification. Une application d’administration (supervision) peut ainsi contrôler les données du serveur.
  Cette nouvelle API (…)

• www. or not www. ?

  6 octobre 2019, par B. Degoy

  ’www.monsite.com’ et ’monsite.com’ ne sont pas les mêmes noms de domaine et, généralement, ne correspondent pas aux même serveurs Web. OAuthSD fait la différence, il ne faut donc pas mélanger les deux.
  Assurer la cohérence www - non www
  La cohérence doit être assurée entre : (…)

• Typologie des applications au regard de la sécurité des données

  8 septembre 2019, par B. Degoy

  Application "Web", "publique", "privée", "confidentielle", "avec back-end", "sans-backend", "native", "hybride", "à page unique" (SPA), "Progressive Web App" (PWA) etc. Comment s’y retrouver ? Quelle est leur sécurité selon les flux d’autorisation mis en oeuvre ?
  Nos échanges récents avec (…)

• OpenID Connect : Grant Type flows

  4 septembre 2019, par B. Degoy

  The Grant Type flows specifically defined for the OpenID Connect protocol are : Authorization Code Grant, Implicit Grant, Hybrid Flow.
  See also : OpenID Connect : Summary of all authorization flows.
  Authorization Code Flow (spec. : Authorisation code flow) - the most commonly used stream (…)