--- id: CP-194 slug: oauth-2-delegation-acces-jetons lang: fr title: OAuth 2.0 et les jetons d'accès description: Comment OAuth 2.0 donne à une application un accès limité à votre compte sans votre mot de passe, et comment lire l'écran de consentement. canonical_url: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « OAuth 2.0 et les jetons d'accès », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-026 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ en: https://startbrain.io/cyberpedia/en/articles/oauth-2-delegated-access-tokens/ de: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ es: https://startbrain.io/cyberpedia/es/articles/oauth-2-delegacion-acceso-tokens/ sources: - "n": 1 title: Investigate and remediate risky OAuth apps publisher: Microsoft url: https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth accessed: "2026-11-03" - "n": 2 title: Steal Application Access Token, Technique T1528 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens accessed: "2026-11-03" - "n": 4 title: Refresh tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens accessed: "2026-11-03" - "n": 5 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 6 title: OAuth2 - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html accessed: "2026-11-03" --- # OAuth 2.0 et les jetons d'accès OAuth est un standard ouvert d'authentification et d'autorisation fondé sur des jetons. Il permet à un service tiers d'utiliser les informations d'un compte sans exposer le mot de passe de son titulaire [1]. Prenons une application qui analyse votre agenda pour vous conseiller sur votre organisation. Elle a besoin d'accéder à l'agenda, mais au lieu de recevoir vos identifiants, elle obtient un jeton, créé quand vous donnez votre consentement sur une page dédiée [1]. Cette page s'appelle l'écran de consentement. ## En 30 secondes - Où ça arrive : de nombreuses applications tierces installées par des utilisateurs demandent la permission d'accéder à leurs données et de se connecter à leur place dans d'autres applications en ligne [1]. - Ce que veut l'attaquant : vous faire accorder l'accès à une application malveillante, par exemple après un lien reçu par hameçonnage ciblé [2]. - Le réflexe : avant de cliquer sur « Accepter », vérifier que les permissions demandées correspondent à l'objet de l'application, et refuser dans le cas contraire [1]. - Si c'est déjà fait : un administrateur peut bannir ou révoquer l'application [1]. ## Questions directes ### Que se passe-t-il quand j'accepte un écran de consentement ? L'application reçoit un jeton d'accès qui autorise le partage d'informations précises du compte, et seulement celles-là [1]. Le mot de passe reste chez le fournisseur du compte. ### Qu'est-ce qu'un jeton d'accès ? C'est un justificatif conçu pour l'autorisation : il donne accès à des ressources précises au nom d'un utilisateur déjà authentifié. Microsoft le compare à des clés qui ouvrent des portes précises dans un immeuble [3]. Comme il ouvre l'accès, il est sensible et présente un risque s'il est mal protégé [3]. Sa durée de vie est limitée. Sur la plateforme d'identité Microsoft, la valeur par défaut est tirée au hasard entre 60 et 90 minutes, soit 75 minutes en moyenne [3]. ### Qu'est-ce qu'un jeton de rafraîchissement ? Un jeton de rafraîchissement sert à obtenir une nouvelle paire de jetons quand le jeton d'accès expire. Le client le reçoit en même temps que le jeton d'accès [4]. Il vit plus longtemps : par défaut 24 heures pour les applications monopages et pour celles qui utilisent le flux d'authentification par code à usage unique envoyé par courriel, et 90 jours dans tous les autres scénarios, sur la plateforme Microsoft [4]. L'application peut ainsi continuer à travailler en arrière-plan sans vous redemander votre accord à chaque expiration. ### Pourquoi ces jetons intéressent-ils les attaquants ? Un jeton volé permet d'agir avec les droits du compte. MITRE ATT&CK décrit des attaquants qui utilisent des jetons volés à la place des identifiants de connexion [5]. Le jeton de rafraîchissement aggrave le risque : s'il est volé, l'attaquant obtient de nouveaux jetons d'accès sans solliciter l'utilisateur [2]. ### Peut-on retirer l'accès d'une application ? Oui. Côté administration, une application peut être bannie ou révoquée depuis la page des applications OAuth, et une règle peut automatiser la révocation [1]. Côté jetons, le service peut révoquer un jeton de rafraîchissement avant son expiration, par exemple après un changement de mot de passe ou une action de l'utilisateur ou de l'administrateur [4]. Les effets varient selon le type de jeton et le changement effectué [4]. ## Comment ça marche Trois acteurs interviennent. Le client est l'application qui demande l'accès. Le serveur d'autorisation émet les jetons après avoir authentifié le propriétaire des données et obtenu son consentement. Le serveur de ressources héberge les données et accepte les requêtes accompagnées d'un jeton [6]. Le jeton d'accès remplace les différents justificatifs (nom d'utilisateur et mot de passe, par exemple) par un élément unique que comprend le serveur de ressources. Il peut ainsi avoir une durée courte [6]. Le jeton de rafraîchissement permet d'en obtenir un nouveau, avec des droits identiques ou plus étroits : un jeton d'accès peut avoir une durée plus courte et moins de permissions que celles accordées par le propriétaire [6]. Le jeton le plus courant est le jeton porteur : quiconque le possède peut l'utiliser. L'OWASP recommande donc de le limiter à un seul serveur de ressources, de préférence, pour réduire les dégâts en cas de fuite [6]. L'application, elle, doit traiter le jeton comme une chaîne opaque : seule l'API visée doit en lire le contenu [3]. ## Ce que vous faites Face à un écran de consentement, quelques vérifications suffisent. - Lisez la demande avant de l'accepter. Les utilisateurs cliquent souvent sur « Accepter » sans examiner les détails, y compris les permissions accordées [1]. - Comparez les permissions à l'objet de l'application. Une application ne devrait demander que des permissions liées à son but, Microsoft donne l'exemple d'une application d'horloge avec un accès complet à toutes les boîtes aux lettres, ce qui ne correspond pas à son objet [1]. - Méfiez-vous des permissions les plus lourdes. MITRE ATT&CK signale que l'accès hors connexion et l'accès à la lecture des courriels doivent éveiller davantage de soupçons, car des attaquants peuvent utiliser les API des services en ligne pour y chercher des identifiants et des communications sensibles [2]. - Regardez l'adresse de redirection. Si elle est mal orthographiée ou forme une suite de mots compliquée autour d'un service attendu, le site tente probablement d'imiter un vrai service [2]. - Préférez les applications courantes. Plus une application est répandue, dans l'organisation comme en ligne, plus elle a de chances d'être sûre [1]. - Refusez une application que vous ne reconnaissez pas. MITRE ATT&CK recommande de former les utilisateurs à ne pas autoriser les applications tierces inconnues [2]. - Un administrateur peut enquêter sur les applications suspectes et les retirer [2]. ## Les pièges ### Le faux écran de consentement L'attaquant enregistre une application auprès du serveur d'autorisation, puis envoie un lien d'hameçonnage ciblé pour inciter la victime à lui accorder l'accès [2]. Un exemple donné par Microsoft : une page de consentement peut sembler légitime à un utilisateur moyen, alors que « Google APIs Explorer » n'a aucune raison de demander des permissions à Google lui-même. L'application peut donc être une tentative d'hameçonnage sans lien avec Google [1]. Les noms rassurants sont courants. MITRE ATT&CK note que le groupe APT28 a utilisé des applications malveillantes se faisant passer pour « Google Defender », « Google Email Protection » et « Google Scanner » auprès d'utilisateurs de Gmail, et « Delivery Service » et « McAfee Email Protection » auprès d'utilisateurs de Yahoo [2]. ### Le jeton qui dure Une fois le jeton accordé, l'application peut obtenir un accès potentiellement durable aux fonctions du compte [2]. Avec un jeton de rafraîchissement qui permet l'accès en arrière-plan, un attaquant peut par exemple chercher dans les courriels et énumérer les contacts [5]. Changer son mot de passe ne règle pas toujours le problème : selon le tableau de Microsoft, certains jetons restent actifs après un changement de mot de passe par l'utilisateur [4]. ### Le jeton volé sans vous demander quoi que ce soit Le vol de jeton ne passe pas toujours par un consentement. MITRE ATT&CK cite aussi des jetons volés dans des environnements de conteneurs ou des chaînes de développement, où ils servent à s'authentifier auprès d'autres services [2]. Le programme Kali365 est décrit comme ayant obtenu des jetons d'accès et de rafraîchissement OAuth en trompant des victimes pour qu'elles valident des demandes d'autorisation d'appareil initiées par l'attaquant [2]. ### L'application oubliée Une application autorisée un jour reste connectée tant que personne ne la retire. Microsoft recommande de repérer les applications dont la date de dernière autorisation n'est pas récente : elles peuvent ne plus être nécessaires [1]. MITRE ATT&CK demande aux administrateurs un audit de toutes les applications OAuth et des permissions accordées, suivi d'audits périodiques, avec enquête et retrait des applications suspectes [2]. Côté salarié, cela se traduit par un geste simple : repasser de temps en temps sur la liste des applications connectées à son compte et signaler celles qu'on ne reconnaît pas. ## Sources 1. Microsoft, « Investigate and remediate risky OAuth apps ». https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Steal Application Access Token, Technique T1528 - Enterprise ». https://attack.mitre.org/techniques/T1528/ (consulté le 3 novembre 2026) 3. Microsoft, « Access tokens in the Microsoft identity platform ». https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (consulté le 3 novembre 2026) 4. Microsoft, « Refresh tokens in the Microsoft identity platform ». https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise ». https://attack.mitre.org/techniques/T1550/001/ (consulté le 3 novembre 2026) 6. OWASP, « OAuth2 - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.