Ctrlk
For the complete documentation index, see llms.txt. This page is also available as Markdown.

OAuth 2 Risques & Recommandations

TLS EVERYWHERE! OAuth 2 n’oblige malheureusement pas l’utilisation du TLS pour les "Redirect URI" mais le recommande fortement.

L'Authorization Server doit vérifier que le Client possÚde bien le nom de domaine associé à la Redirect URI. (E.g. : Vérification de la capacité du client à ajouter une entrée DNS TXT proposée aléatoirement par l'Authorization Server)

L'Authorization Server devrait permettre aux Clients de renouveler rapidement le Client Secret.

L'Authorization Server devrait obliger les Clients à renouveler réguliÚrement le Client Secret.

  • Le Client Secret est souvent stockĂ© dans une variable d’environnement sur le serveur d’application.

  • Une erreur de configuration suffit pour compromettre tout le systĂšme.

  • L'Authorization Server peut permettre de modifier le Redirect URI simplement en prĂ©sentant le Client ID et le Client Secret.

Les Redirect URIs sont des absolute URIs (scheme, fqdn, port, path) et ne doivent pas contenir de “fragment” (#
).

L'Authorization Server doit vérifier les Redirect URIs avec une égalité stricte. E.g. : https://www.wishtack.com/oauth?source=test est strictement différente de https://www.wishtack.com/oauth.

PrécédentOAuth 2 Registration
SuivantOAuth 2 Substitution Attack

Mis Ă  jour