Tu te connectes à Instagram, à ta banque en ligne, à ton compte Netflix.
Chaque jour, tu prouves des dizaines de fois que tu es bien toi.
Mais comment ça fonctionne réellement derrière l'écran ?
L'authentification, c'est le processus par lequel un système vérifie ton identité.
C'est la question "Qui es-tu ?" avant de te laisser entrer.
Ne pas la confondre avec l'autorisation, qui répond à "As-tu le droit de faire ça ?".
Le mot de passe : le grand classique
La méthode la plus répandue pour s'authentifier reste le couple identifiant / mot de passe.
Tu fournis ton email et un mot de passe secret. Si le serveur trouve une correspondance,
tu es connecté.
Mais attention, un site sérieux ne stocke jamais ton mot de passe en clair dans sa
base de données. Il en stocke le hash, c'est-à-dire une empreinte irréversible.
Quand tu te connectes, le serveur recalcule le hash de ce que tu viens de saisir et le compare
à celui qu'il a en base. S'ils correspondent, c'est bon.
S'ils diffèrent, le serveur ne sait pas si tu as tapé "Monmotdepasse" au lieu de
"monmotdepasse", il sait juste que ce n'est pas le bon.
C'est pour cette raison qu'aucun site ne peut t'envoyer ton mot de passe oublié par email.
Il ne le connaît pas. Il ne peut que te proposer d'en créer un nouveau.
Les bonnes pratiques
On te répète sans cesse de choisir un mot de passe "fort" : au moins 12 caractères,
avec des majuscules, des chiffres, des caractères spéciaux...
Les recommandations officielles ont pourtant évolué. C'est la longueur qui compte le plus, bien avant l'accumulation
de symboles exotiques. Une longue phrase que tu retiens sans effort résiste mieux qu'un court mot de passe truffé de
caractères spéciaux que tu finiras de toute façon par noter sur un post-it.
Le vrai problème, c'est la réutilisation. Si tu utilises le même mot de passe sur
20 sites différents et que l'un d'entre eux se fait pirater, tous tes comptes sont compromis.
Les pirates récupèrent des millions de couples email / mot de passe lors de fuites de données
et les essaient automatiquement sur des centaines d'autres sites.
On appelle ça le credential stuffing.
C'est pourquoi la recommandation numéro un est d'utiliser un gestionnaire de mots de passe
comme Bitwarden, 1Password ou le trousseau intégré à ton navigateur.
Il génère un mot de passe unique et complexe pour chaque site, et tu n'as plus qu'un
seul mot de passe maître à retenir.
Rester connecté : sessions et tokens
Quand tu te connectes à un site, tu ne veux pas retaper ton mot de passe à chaque clic. Le serveur doit se souvenir de toi. Deux grandes approches existent.
Les sessions côté serveur
La méthode traditionnelle. Quand tu te connectes, le serveur crée une session : un espace
en mémoire qui contient tes informations (identifiant, droits, préférences...).
Il t'attribue un identifiant de session unique, stocké dans un cookie de ton navigateur.
À chaque requête, ton navigateur envoie automatiquement ce cookie. Le serveur le reçoit,
retrouve ta session, et sait qui tu es. Quand tu te déconnectes, le serveur supprime
la session et le cookie disparaît.
C'est aussi ce qui explique le comportement de la navigation privée. Les
cookies y fonctionnent normalement le temps de la navigation, mais tout est jeté
quand tu fermes la dernière fenêtre privée. Attention, tant qu'il en reste une d'ouverte, les autres partagent la
même session : ouvrir une deuxième fenêtre privée ne te reconnecte pas sous une autre identité.
Les tokens (JWT)
L'approche moderne, très utilisée avec les API. Au lieu de stocker ta session sur le serveur,
celui-ci te retourne un jeton (token) signé qui contient directement tes informations :
ton identifiant, tes droits, la date d'expiration.
Le serveur n'a rien à stocker de son côté. Il se contente de vérifier la signature du jeton
pour s'assurer qu'il est authentique et qu'il n'a pas été modifié.
Le format le plus courant est le JWT (JSON Web Token, prononcé "jotte").
Attention à une idée fausse très répandue, le contenu d'un JWT n'est pas chiffré. Il est simplement encodé
et signé, donc n'importe qui peut le lire. La signature garantit qu'il n'a pas été modifié, pas qu'il reste secret.
Ce jeton étant valable tant qu'il n'a pas expiré, on lui donne en général une durée de vie courte, de quelques
minutes à quelques heures, accompagnée d'un refresh token qui permet d'en obtenir un nouveau sans se reconnecter.
Se connecter avec Google, Facebook, Apple...
Tu as forcément croisé ces boutons "Se connecter avec Google" ou "Continuer avec Apple".
Derrière, c'est le protocole OAuth 2.0 qui opère, complété par une surcouche appelée OpenID Connect qui
sert précisément à transporter ton identité.
Le principe est élégant. Au lieu de créer un nouveau compte avec un nouveau mot de passe,
tu délègues l'authentification à un service en qui tu as déjà confiance.
- Tu cliques sur "Se connecter avec Google".
- Tu es redirigé vers Google, qui te demande "Ce site veut accéder à votre nom et votre email. Acceptez-vous ?"
- Tu acceptes. Google renvoie ton navigateur vers le site avec un code à usage unique.
- Le site échange discrètement ce code contre un jeton d'accès limité, puis utilise ce jeton pour récupérer ton nom et ton email auprès de Google.
- Le site te crée un compte (ou te connecte si tu en as déjà un).
Le point essentiel, c'est que le site n'a jamais vu ton mot de passe Google.
Il n'a accès qu'aux informations que tu as explicitement autorisées.
C'est très pratique pour l'utilisateur (pas de nouveau mot de passe à gérer)
et pour le développeur (pas besoin de gérer le stockage sécurisé des mots de passe).
En revanche, tu deviens dépendant de Google : si ton compte Google est compromis,
tous les sites associés le sont aussi.
L'authentification à deux facteurs (2FA)
Un mot de passe, ça se vole. C'est pourquoi de plus en plus de services ajoutent
une deuxième couche de sécurité : l'authentification à deux facteurs, ou 2FA.
Le principe repose sur la combinaison de deux éléments parmi trois catégories :
- Ce que tu sais : ton mot de passe, un code PIN.
- Ce que tu possèdes : ton téléphone, une clé physique.
- Ce que tu es : ton empreinte digitale, ton visage.
Le cas le plus courant, c'est le code à usage unique. Après avoir saisi ton mot de passe (ce que tu sais),
on te demande un code à 6 chiffres, reçu par SMS ou généré par une application comme
Google Authenticator (ce que tu possèdes).
Même si quelqu'un connaît ton mot de passe, il ne peut pas se connecter sans avoir
aussi ton téléphone. C'est pourquoi l'authentification forte est devenue obligatoire en Europe pour accéder à
ses comptes bancaires en ligne et valider ses paiements. C'est la fameuse directive DSP2, appliquée depuis 2019,
qui a généralisé la validation d'achat depuis l'application de ta banque.
Le SMS est le maillon faible de la 2FA. Un attaquant peut détourner ton numéro de téléphone en appelant ton opérateur et en se faisant passer pour toi (SIM swapping). Les applications d'authentification ou les clés physiques (comme YubiKey) sont beaucoup plus sûres.
Les passkeys : l'avenir sans mot de passe
Apple, Google et Microsoft poussent ensemble depuis 2022 un standard commun, les passkeys, construit sur les
spécifications FIDO2 et WebAuthn.
L'idée est radicale, puisqu'il s'agit de supprimer complètement les mots de passe.
Une passkey est une paire de clés cryptographiques, comme on l'a vu dans le chapitre sur le
chiffrement.
Une clé privée reste sur ton appareil, protégée par ton empreinte digitale ou Face ID.
La clé publique est envoyée au site.
Pour te connecter, le site envoie un défi à ton appareil. Celui-ci le signe avec ta clé
privée après avoir vérifié ton identité biométrique. Le site vérifie la signature avec
la clé publique. C'est tout.
Plus de mot de passe à retenir, plus de phishing possible (la passkey est liée au site),
plus de base de données de mots de passe à protéger. On est sur un simple geste
biométrique aussi rapide que déverrouiller son téléphone.
Le SSO : une connexion pour tout gouverner
En entreprise, tu utilises peut-être des dizaines d'outils : Slack, Jira, Google Workspace,
Notion, GitHub... Te connecter individuellement à chacun serait un cauchemar.
Le SSO (Single Sign-On) résout ce problème. Tu te connectes une seule fois au système
central de ton entreprise, et tous les outils te reconnaissent automatiquement.
Quand tu cliques sur Slack, il demande au système central "Est-ce que cette personne est
connectée ?". Si oui, tu es immédiatement redirigé vers Slack sans rien saisir.
Le SSO a un autre avantage majeur pour l'entreprise. Quand un employé part,
on désactive son compte central et il perd instantanément accès à tous les outils.
Sans SSO, il faudrait le supprimer manuellement de chaque service.
Récapitulatif
- Mot de passe : simple mais vulnérable, toujours stocké en hash.
- Session / Token : te maintenir connecté sans retaper ton mot de passe.
- OAuth : se connecter via un tiers (Google, Apple...) sans partager son mot de passe.
- 2FA : une deuxième preuve d'identité pour compenser la faiblesse des mots de passe.
- Passkeys : la prochaine génération, sans mot de passe du tout.
- SSO : une connexion unique pour accéder à tous les outils d'une entreprise.