## Introduction Le [protocole OpenID Connect](https://openid.net/specs/openid-connect-core-1_0.html), également connu sous le nom d'OIDC, est devenu une norme largement adoptée pour fournir un cadre fondamental pour la gestion des identités. C'est une couche d'authentification construite sur le protocole OAuth 2.0 bien connu. Tandis que OAuth 2.0 est uniquement destiné à l'autorisation des ressources, OIDC est le protocole qui standardise et renforce l'authentification du client, avec l'aide du nouveau jeton ID introduit. Attendez ... Vous avez peut-être entendu parler du jeton d'actualisation et du jeton d'accès à l'époque d'OAuth, et voici maintenant un nouveau concept dans OIDC ? Comprenez-vous vraiment les différences entre ces jetons ? [Logto](https://logto.io/), notre solution complète de gestion des identités et des accès des clients (CIAM), est construite sur le protocole OIDC. Dans notre communauté, l'une des questions les plus fréquemment posées par nos utilisateurs est : > **Quelles sont les différences entre un jeton de rafraîchissement, un jeton d'accès et un jeton ID ?** Alors dans ce post, nous allons nous plonger dans les aspects clés des jetons OIDC, tout en éclairant comment Logto améliore l'expérience globale du développeur. Essayez Logto Cloud en 5 minutes ## Commençons par un scénario pratique Imaginez que vous travaillez sur une application client-serveur typique, et qu'ils communiquent entre eux par le biais d'API RESTful. Vous voulez garder la plupart de vos API privées, n'autorisant que les clients autorisés à y accéder. Vous pourriez alors vous poser la première question : ### Quel type de jeton ai-je besoin pour protéger mon API ? La réponse rapide est : Le jeton d'accès. Dans OIDC, chaque API protégée est traitée comme une ressource. Le jeton d'accès est la référence que le client transmet au serveur lorsqu'il demande une ressource API, généralement via l'en-tête de la requête. Du côté du serveur, chaque fois qu'une requête arrive, le serveur n'a qu'à valider si la requête entrante porte un jeton d'accès valide. Un jeton d'accès est une référence à durée de vie courte qui fournit une autorisation pour accéder à des ressources protégées au nom d'un utilisateur. Lorsqu'un utilisateur s'authentifie avec succès en utilisant OIDC, le serveur d'autorisation émet un jeton d'accès. Ce jeton contient des informations sur l'utilisateur, ses autorisations, et la durée de sa validité. Le token est ensuite envoyé avec chaque requête suivante au serveur de ressources, permettant au serveur de vérifier l'identité de l'utilisateur et d'autoriser l'accès à les ressources demandées. Cependant, vous pourriez vous demander : Si mon application client peut avoir un jeton d'accès valide après une connexion réussie, et utiliser le jeton d'accès pour demander des API de serveur, n'est-ce pas suffisant ? Pourquoi ai-je besoin de jetons de rafraîchissement et de jetons ID ? En effet, une question valide, et expliquons ça étape par étape. ### Pourquoi avons-nous besoin de jetons de rafraîchissement ? Bien que techniquement les jetons d'accès répondent aux exigences minimales pour faire fonctionner le système, cependant, en raison de préoccupations de sécurité, la validité des jetons d'accès est généralement très courte (typiquement une heure). Imaginez donc si nous n'avons que des jetons d'accès, les utilisateurs finaux devront se réauthentifier chaque fois que le jeton d'accès expire. Pour les applications web modernes à une seule page et surtout les applications mobiles, se déconnecter fréquemment est une expérience utilisateur plutôt pénible, même si nous essayons juste de protéger leur sécurité utilisateur. Par conséquent, nous avons besoin d'un équilibre entre la sécurité du jeton et la commodité de l'utilisateur. C'est pourquoi OIDC introduit des jetons de rafraîchissement. Un jeton de rafraîchissement est un jeton à durée de vie plus longue qui est utilisé pour obtenir de nouveaux jetons d'accès sans nécessiter l'utilisateur de se ré-authentifier. C'est comme une clé pour obtenir plus de clés. Les jetons de rafraîchissement sont utilisés lorsque le le jeton d'accès expire ou a besoin d'être renouvelé. Ils ont une période de validité plus longue comparée à l'accès jetons, durant souvent des jours, des semaines, voire des mois. ### Pourquoi les jetons de rafraîchissement peuvent-ils avoir une durée de vie plus longue ? Les jetons d'accès sont utilisés pour accéder aux ressources API, donc leur nature de courte durée aide à atténuer les risques de fuite ou de compromission. D'autre part, puisque les jetons de rafraîchissement sont uniquement utilisés pour échanger de nouveaux jetons d'accès, ils ne sont pas utilisés aussi fréquemment que les jetons d'accès et donc le risque d'exposition est réduit. Par conséquent, avoir une période de validité plus longue est considéré comme acceptable pour les jetons de rafraîchissement. ### Assurer la sécurité du jeton de rafraîchissement Étant donné que le jeton de rafraîchissement est également stocké du côté client, assurer leur non-compromission est un défi, en particulier pour les clients publics tels que les applications web à page unique (SPA). Dans Logto, les jetons de rafraîchissement ont un [mécanisme de rotation](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) automatique activé par défaut, ce qui signifie que le serveur d'autorisation émettra un nouveau jeton de rafraîchissement une fois qu'il répond à certains critères : - Applications à une seule page : Reconnues comme des clients non contraints par l'expéditeur, ces applications imposent la rotation du jeton de rafraîchissement. La durée de vie du jeton de rafraîchissement (TTL) ne peut pas être spécifiée. - Applications natives et applications web traditionnelles : La rotation du jeton de rafraîchissement est intrinsèquement activée, se renouvelant automatiquement lorsqu'elle atteint 70% de sa TTL. [En savoir plus](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Bien que vous ayez toujours la possibilité de désactiver la rotation du jeton de rafraîchissement sur la page des détails de l'application dans la console d'administration, il est fortement recommandé de conserver cette mesure de sauvegarde. ### L'essence du jeton ID [Le jeton ID](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) permet au client d'obtenir des informations basiques sur l'utilisateur sans faire de requête au serveur. Le jeton ID est un nouveau type de jeton introduit par OIDC qui contient des informations d'authentification de l'utilisateur en cache améliorant les performances et l'expérience de l'utilisateur final. Contrairement aux jetons d'accès, destinés à être compris uniquement par le serveur de ressources, les jetons ID sont conviviaux pour le client. Lorsque le client fait une demande d'échange de jeton OIDC, il peut demander un jeton ID en même temps qu'un jeton d'accès. Le jeton ID est un jeton Web JSON (JWT) qui contient des claims d'utilisateur tels que le nom d'utilisateur, l'email, la photo de l'avatar, etc. Il est signé par le serveur d'autorisation et peut être vérifié et décodé par le client hors ligne. C'est particulièrement utile pour les applications web modernes à une seule page, et les applications mobiles, où le client peut mettre en cache le jeton ID et l'utiliser pour déterminer le statut d'authentification de l'utilisateur, ce qui aide grandement les performances globales et l'expérience utilisateur. Il est également important de noter que les jetons ID ne sont pas utilisés pour autoriser l'accès à des ressources protégées ; les jetons d'accès remplissent ce rôle. Dans Logto, nous utilisons également le jeton ID dans nos SDK pour aider à déterminer le statut d'authentification du côté client. Par exemple, dans nos [SDK JS](https://docs.logto.io/docs/references/applications/#rotate-refresh-token), vous pouvez voir : ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` Pourtant, comme mentionné ci-dessus, le drapeau `isAuthenticated` du SDK client n'est qu'un statut en cache côté client. Le statut d'authentification en temps réel doit toujours être déterminé par le serveur, en validant les jetons de rafraîchissement et d'accès. Nous fournissons également une fonction `getUserClaims()` dans nos SDK pour vous aider à décoder le jeton ID et à obtenir les claims de l'utilisateur. Cependant, le statut en cache n'est pas actualisé tant que l'utilisateur ne se connecte pas à nouveau. Si vous voulez obtenir des informations utilisateur en temps réel depuis le serveur OIDC, utilisez `fetchUserInfo()` à la place. ## Les avantages et les caractéristiques de Logto Logto est construit strictement en suivant le protocole OIDC, tout en fournissant des fonctionnalités et des avantages supplémentaires pour les développeurs et les entreprises : 1. SDK pratiques : Les SDK de Logto simplifient la gestion des jetons pour vous. Vous n'avez pas à stocker manuellement votre jeton de rafraîchissement et votre jeton d'accès vous-même. Appelez simplement `getAccessToken()` à chaque fois et le SDK essaiera toujours de réutiliser le jeton d'accès stocké, ou de le renouveler automatiquement s'il est expiré. 2. Rotation du jeton de rafraîchissement : Logto applique un mécanisme de rotation du jeton de rafraîchissement pour s'assurer que votre jeton de rafraîchissement est toujours renouvelé après avoir été consommé, ce qui atténue le risque de fuite ou de compromission. Bien que vous puissiez toujours le désactiver dans la console d'administration, il est fortement recommandé de le garder activé. 3. Performance optimisée : Avec l'aide des jetons ID, vous pouvez toujours obtenir des informations de base sur l'utilisateur sans faire de requête au serveur. Utilisez le statut `isAuthenticated` et la fonction `getIdTokenClaims()` fournis par les SDK de Logto pour vérifier le statut d'authentification de l'utilisateur et déchiffrer les claims de l'utilisateur du côté client. 4. Sécurité améliorée : Logto impose des connexions sécurisées entre le client et le serveur d'autorisation en utilisant HTTPS et TLS. Cela protège vos jetons contre le vol potentiel par des tiers non autorisés et garantit la sécurité de votre système. ## Conclusion Dans le protocole OIDC, les jetons de rafraîchissement, les jetons d'accès et les jetons ID travaillent ensemble pour fournir une authentification utilisateur sécurisée et transparente. - Les jetons de rafraîchissement éliminent l'intervention de l'utilisateur pour de nouveaux jetons d'accès. - Les jetons d'accès fournissent une autorisation pour accéder à des ressources protégées. - Les jetons ID fournissent des informations sur l'utilisateur en cache sur le client, améliorant les performances. Comprendre le rôle et l'importance de ces jetons est crucial pour les développeurs qui implémentent l'authentification OIDC dans leurs applications. En choisissant Logto, les développeurs et les entreprises peuvent débloquer le plein potentiel de ces fonctionnalités OIDC, intégrer des systèmes d'authentification robustes et sécurisés qui protègent les données des utilisateurs et offrent une expérience utilisateur transparente. Essayez Logto Aujourd'hui