Résumé

  • Un nouveau cas d’un projet individuel IETF donne à l’agent 30 dollars au plus par achat et 100 dollars pour la journée, entre repas, trajets et fournitures. Dans l’exemple, une course à 38 dollars attend une exception humaine.
  • Trois services ne peuvent respecter un plafond total en regardant seulement leurs propres tickets. Le projet constate l’absence de règles communes pour ce calcul, la révocation de toute la délégation et son application à chaque caisse.

Le plafond flotte au-dessus des caisses

Au restaurant, l’agent paie 24 dollars. Au service de transport, il tente une course à 38 dollars: trop pour une opération limitée à 30 dollars. Puis vient une commande de fournitures à 18 dollars. Ces achats appartiennent au scénario inventé par les auteurs du projet révisé sur l’autorisation des agents. Le cadre fixé par l’utilisateur prévoit 100 dollars pour toute la journée et s’éteint à minuit. Dave a une tâche banale: obtenir son repas, son trajet et quelques achats sans sortir son téléphone à chaque fois. La course est précisément le moment où il voudrait reprendre la main. Un système qui lui demande une exception claire à 38 dollars, mais perd la trace des 24 dollars du dîner à la caisse suivante, lui rend la corvée tout en gardant l’illusion de la facilité. Une caisse peut contrôler son prix. Le plafond de la journée, lui, vit entre les caisses.

L’annonce du 27 octobre présente la version 05. Sa fiche IETF la décrit comme Internet-Draft individuel actif, sans approbation de l’IETF ni filière RFC. Le cas des « petites commandes quotidiennes » est nouveau: la version 04 n’en parle pas. Les auteurs veulent qu’une seule authentification forte le matin permette de petites actions autonomes pendant une période bornée. Appeler cette commodité « consentement amorti » ne fait pas disparaître le travail de comptable qu’elle impose.

Le plafond par achat se comprend aisément: 38 dépasse 30, donc la course est retenue jusqu’à ce que Dave approuve une exception précise. Le plafond cumulé est plus retors. Le livreur de repas connaît les 24 dollars qu’il a facturés; le vendeur de fournitures connaît ses 18 dollars. Aucun des deux ne sait ce que l’autre a encaissé par la seule lecture de son propre jeton. Il faut que chacun reconnaisse la même délégation et obtienne un solde fiable avant de rendre irréversible la dépense. Il faut aussi une règle sur ce qu’on compte: commande préparée, acceptée, débitée ou annulée.

Le projet pose le besoin sans fournir un compteur interservices achevé.

Le permis, les achats et l’arrêt d’urgence

Le cas ne réduit pas la délégation à deux chiffres. L’agent peut lire des options, préparer une commande, l’envoyer et dépenser: ces actions n’ont pas les mêmes conséquences. La permission doit nommer les applications autorisées, fixer une date d’expiration et empêcher l’agent d’allonger ou d’élargir lui-même sa marge. L’utilisateur doit pouvoir révoquer toute la délégation d’un seul geste, y compris les droits qui en découlent. Chaque achat doit être attribuable cryptographiquement à la délégation particulière qui l’a permis.

Les auteurs reconnaissent que plusieurs outils OAuth couvrent une partie du terrain. Le flux de code d’autorisation peut établir le premier accord; les demandes d’autorisation riches expriment des paramètres structurés; DPoP lie un jeton au présentateur; la révocation de jeton éteint un jeton donné. Leur analyse repère néanmoins des pièces manquantes: aucune sémantique standard du plafond monétaire commun, aucun arrêt standard de la délégation entière et aucun trajet interopérable des limites promises vers les services indépendants qui exécutent les achats.

Trois guichets peuvent tous accepter un titre parfaitement valable et rester incapables de calculer la même journée.

La course à 38 dollars sépare encore deux pouvoirs. Elle dépasse d’abord la limite par opération; le total quotidien n’est même pas la question immédiate. L’exception doit porter sur cette course et son prix. Une approbation vague de « l’application de transport » risquerait de transformer une décision ponctuelle en passe-partout. De même, l’expiration à minuit et la révocation anticipée doivent atteindre les jetons dérivés de cette seule délégation dans tous les services. Un bouton « arrêter » qui ne connaît qu’un commerçant n’arrête pas la journée.

Enfin, la comparaison avec le relevé de carte dépend de l’attribution. Le scénario prévoit que l’assistant puisse raconter ce qu’il a fait; une histoire fluide ne suffit pas. Il faut relier chaque ordre, son montant, l’état de son exception et son effet à la délégation du matin. Le dossier décrit une exigence de conception, pas des achats observés ni une adoption mesurée.

Documents originaux