Authentification vs. autorisation

Comprenez la différence entre l’authentification et l’autorisation, comment elles fonctionnent ensemble et comment Auth0 gère chacune d’elles dans vos applications.

Bien qu’on les utilise souvent de façon interchangeable, l’authentification et l’autorisation remplissent des fonctions fondamentalement différentes. Dans cet article, nous les comparons pour montrer comment elles protègent les applications de manière complémentaire.

​

Que sont l’authentification et l’autorisation?

En termes simples, l’authentification consiste à vérifier l’identité d’un utilisateur, tandis que l’autorisation consiste à vérifier à quoi il a accès.

Pour comparer ces processus à un exemple concret, lorsque vous passez le contrôle de sécurité à l’aéroport, vous présentez votre ID pour vous authentifier. Ensuite, lorsque vous arrivez à la porte d’embarquement, vous montrez votre carte d’embarquement à l’agent de bord pour qu’il puisse vous autoriser à monter à bord et vous donner accès à l’avion.

​

Authentification vs. autorisation

Voici un bref aperçu des différences entre l’authentification et l’autorisation :

Authentification	Autorisation
Détermine si les utilisateurs sont bien ceux qu’ils prétendent être	Détermine à quoi les utilisateurs peuvent ou non accéder
Demande à l’utilisateur de valider ses informations d’authentification (par exemple, au moyen d’un mot de passe, de réponses à des questions de sécurité ou de la reconnaissance faciale)	Vérifie si l’accès est autorisé au moyen de politiques et de règles
Est habituellement effectuée avant l’autorisation	Est habituellement effectuée après une authentification réussie
Transmet généralement des renseignements au moyen d’un ID Token	Transmet généralement des renseignements au moyen d’un jeton d’accès
Est généralement régie par le protocole OpenID Connect (OIDC)	Est généralement régie par le framework OAuth 2.0
Exemple : les employés d’une entreprise doivent s’authentifier sur le réseau avant d’accéder à leur courriel professionnel	Exemple : après qu’un employé s’est authentifié avec succès, le système détermine à quelles informations les employés ont le droit d’accéder

Bref, l’accès à une ressource est protégé à la fois par l’authentification et l’autorisation. Si vous ne pouvez pas prouver votre identité, l’accès à la ressource vous sera refusé. Et même si vous pouvez prouver votre identité, si vous n’êtes pas autorisé à accéder à cette ressource, l’accès vous sera quand même refusé.

Auth0 propose des produits et services d’authentification, comme sans mot de passe, l’authentification multifacteur (MFA) et l’authentification unique (SSO), que vous pouvez configurer à l’aide du Auth0 Dashboard ou de la Management API. Pour l’autorisation, Auth0 offre le contrôle d’accès basé sur les rôles (RBAC) ou l’autorisation fine FGA).