Authentification ou autorisation

Découvrez les différences entre l’authentification et l’autorisation.

Bien qu’on les emploie souvent de façon interchangeable, l’authentification et l’autorisation correspondent à des fonctions fondamentalement différentes. Dans cet article, nous les comparons afin de montrer comment elles protègent les applications de manière complémentaire.

​

Que sont l’authentification et l’autorisation ?

En termes simples, l’authentification consiste à vérifier l’identité d’un utilisateur, tandis que l’autorisation consiste à vérifier à quoi il a accès.

Pour illustrer ces processus par un exemple concret, lorsque vous passez le contrôle de sécurité à l’aéroport, vous présentez une pièce d’identité pour confirmer votre identité. Ensuite, lorsque vous arrivez à la porte d’embarquement, vous présentez votre carte d’embarquement à l’agent d’embarquement afin qu’il puisse vous autoriser à monter à bord et à accéder à l’avion.

​

Authentification et autorisation

Voici un aperçu rapide des différences entre l’authentification et l’autorisation :

Authentification	Autorisation
Détermine si les utilisateurs sont bien ceux qu’ils prétendent être	Détermine à quoi les utilisateurs peuvent et ne peuvent pas accéder
Demande à l’utilisateur de valider ses identifiants (par exemple, au moyen d’un mot de passe, de réponses à des questions de sécurité ou de la reconnaissance faciale)	Vérifie si l’accès est autorisé en fonction de politiques et de règles
A généralement lieu avant l’autorisation	A généralement lieu après une authentification réussie
Transmet généralement l’information au moyen d’un ID Token	Transmet généralement l’information au moyen d’un Jeton d’accès
Est généralement régie par le protocole OpenID Connect (OIDC)	Est généralement régie par le cadre OAuth 2.0
Exemple : les employés d’une entreprise doivent s’authentifier sur le réseau avant d’accéder à leur courriel professionnel	Exemple : après l’authentification réussie d’un employé, le système détermine à quelles informations les employés sont autorisés à accéder

En bref, l’accès à une ressource est protégé à la fois par l’authentification et l’autorisation. Si vous ne pouvez pas prouver votre identité, l’accès à une ressource vous sera refusé. Et même si vous pouvez prouver votre identité, si vous n’êtes pas autorisé à accéder à cette ressource, l’accès vous sera quand même refusé.

Auth0 offre des produits et services d’authentification, comme Passwordless, l’authentification multifacteur (MFA), et l’authentification unique (SSO), que vous pouvez configurer à l’aide de Auth0 Dashboard ou de la Management API. Pour l’autorisation, Auth0 offre le contrôle d’accès basé sur les rôles (RBAC) ou l’autorisation fine FGA).