OAuth : comment relier deux applications sans partager son mot de passe ?
Le bouton « Se connecter avec… » ou « Autoriser l'accès à votre agenda » repose presque toujours sur OAuth.
OAuth 2.0 est un cadre d'autorisation normalisé par l'IETF qui permet à une application tierce d'obtenir un accès limité à un service Web, au nom de son propriétaire, sans jamais connaître son mot de passe. La personne approuve l'accès une fois ; l'application reçoit un jeton restreint à certaines portées et révocable.
En bref
- OAuth autorise un accès ; il ne remplace pas votre mot de passe.
- Le jeton d'accès est limité à des portées précises (lire l'agenda, par exemple).
- Un accès accordé se retire à tout moment depuis le compte d'origine.
- La norme de référence est le RFC 6749, publié en octobre 2012.
Que dit la norme OAuth 2.0 ?
Le RFC 6749 de l'IETF, publié en octobre 2012, décrit OAuth 2.0 comme un cadre qui permet à une application tierce d'obtenir un accès limité à un service HTTP. Cet accès est obtenu soit au nom du propriétaire de la ressource, grâce à une interaction d'approbation, soit au nom de l'application elle-même. Le document remplace l'ancien protocole OAuth 1.0 [1].
Le site oauth.net, qui suit les travaux du groupe de l'IETF, présente OAuth 2.0 comme le protocole standard de l'industrie pour l'autorisation et signale qu'un regroupement nommé OAuth 2.1 est en préparation [2]. Retenez le mot autorisation : OAuth décide de ce qu'une application a le droit de faire, pas de qui vous êtes.
Comment se déroule une connexion OAuth ?
- 1
La demande
Votre outil de planification veut lire votre agenda Google. Il vous redirige vers la page de connexion de Google.
- 2
L'approbation
Vous vous connectez chez Google, pas dans l'outil. Google affiche les droits demandés, appelés portées, et vous acceptez ou refusez.
- 3
- 4
Le renouvellement
Un jeton d'actualisation permet d'obtenir un nouveau jeton d'accès. Google précise qu'il peut expirer, notamment à la suite d'actions de l'utilisateur ou de règles de sécurité [3].
En quoi OAuth diffère-t-il d'une clé d'API ou d'un mot de passe partagé ?
| Méthode | Ce que l'outil reçoit | Retrait de l'accès |
|---|---|---|
| Mot de passe partagé | Tous vos droits, sans limite | Changer le mot de passe partout |
| Clé d'API | Les droits attachés à la clé, souvent larges | Supprimer la clé chez le fournisseur |
| OAuth | Un jeton limité aux portées approuvées | Révoquer l'application dans le compte d'origine |
Combien de connexions une PME doit-elle surveiller ?
Quelles erreurs fréquentes faut-il éviter ?
- Accepter toutes les portées sans les lire : un outil qui veut seulement lire l'agenda n'a pas besoin de supprimer vos courriels.
- Taper son mot de passe Google ou Microsoft dans une fenêtre qui n'est pas celle du fournisseur.
- Oublier qu'un employé qui part laisse derrière lui des applications autorisées avec son compte.
- Croire qu'OAuth sert à vérifier l'identité : c'est un protocole d'autorisation [2].
- Ignorer les renseignements personnels qui circulent ainsi : la Loi 25 s'applique aussi aux données lues par un outil tiers.
Et du côté de Pilotiko ?
Le registre des capacités de Pilotiko ne détaille pas de connexions OAuth vers d'autres services ; nous ne les présentons donc pas ici. Pour comprendre comment les outils se parlent sans OAuth, voyez aussi les pages webhook et logiciel-service.
Questions fréquentes
OAuth est-il sécuritaire ?
Il est plus sûr que de partager un mot de passe, parce que l'accès est limité et révocable. Sa sécurité dépend toutefois de la qualité de la mise en œuvre et de votre vigilance au moment d'accepter les portées. L'IETF publie d'ailleurs des recommandations de sécurité complémentaires.
Quelle est la différence entre OAuth et « Se connecter avec Google » ?
OAuth autorise l'accès à des ressources. La connexion avec un compte Google sert d'abord à vous identifier : elle fait intervenir des jetons d'identité, que oauth.net distingue des jetons d'accès. Les deux apparaissent souvent dans le même écran, d'où la confusion.
Comment retirer l'accès d'une application ?
Allez dans les paramètres de sécurité du compte d'origine (Google, Microsoft, etc.) et ouvrez la liste des applications tierces. Révoquez celles que vous n'utilisez plus. L'application perd alors son jeton.
Pourquoi une application me redemande-t-elle mon accord ?
Le jeton d'actualisation peut expirer ou être révoqué, par exemple après un changement de mot de passe ou une règle de sécurité de l'organisation. L'application doit alors repasser par l'étape d'approbation.
OAuth 1.0 est-il encore utilisé ?
Le RFC 6749 a rendu OAuth 1.0 obsolète en 2012. On en trouve encore dans de vieux systèmes, mais les nouvelles intégrations utilisent OAuth 2.0.
Sources
- IETF, RFC 6749 : The OAuth 2.0 Authorization Framework (consulté le 15 octobre 2026).
- oauth.net, OAuth 2.0 (consulté le 15 octobre 2026).
- Google for Developers, Utiliser OAuth 2.0 pour accéder aux API Google (consulté le 15 octobre 2026).
À lire ensuite
API : qu'est-ce qu'une interface de programmation ?
Qu'est-ce qu'une API ? Le contrat qui permet à deux logiciels d'échanger des données, avec un exemple chiffré de PME québécoise et les erreurs fréquentes.
SaaS : qu'est-ce qu'un logiciel-service ?
SaaS ou logiciel-service : ce que c'est, en quoi il diffère d'un logiciel installé, un calcul d'abonnement pour une PME québécoise et les pièges du contrat.
Webhook : qu'est-ce que c'est et à quoi ça sert ?
Un webhook envoie un avis automatique dès qu'un événement survient dans un logiciel. Fonctionnement, exemple chiffré pour une PME et pièges de sécurité.
Loi 25 : qu'est-ce qui change pour une PME québécoise ?
La Loi 25 expliquée aux PME de services : responsable désigné, consentement, incidents, décisions automatisées, sanctions et une liste de départ chiffrée.