Résumé

  • Le jeton matérialise une délégation antérieure, pas nécessairement la politique présente.
  • Une preuve défendable relie validation, état courant, version de politique en vigueur et période de validité.

Imaginons qu’un administrateur retire un droit à 10 heures, mais qu’une API continue d’accepter, demande après demande et jusqu’à son expiration, un jeton émis auparavant, qu’il soit opaque ou autonome. Si le journal d’audit qualifie chaque acceptation d’« autorisée », il confond la validation d’un justificatif fondé sur un état antérieur avec une décision d’autorisation actuelle.

RFC 6749 définit le jeton d’accès comme un titre représentant une portée et une durée. Signature, audience et expiration établissent des propriétés du titre; elles ne rejouent pas la décision métier. RFC 7009 prévoit la révocation, tout en reconnaissant qu’un délai de propagation peut laisser le jeton utilisable ailleurs. RFC 7662 permet l’introspection de l’état actif et de métadonnées adaptées à la ressource. Mais mettre en cache une réponse positive recrée une fenêtre de décision périmée.

L’introspection n’est pas obligatoire dans tous les déploiements. active exprime l’état retenu par le serveur d’autorisation pour la ressource demandeuse; il ne prouve ni l’identité de la personne, ni la propriété de l’appareil, ni l’ensemble des droits métier. Selon la politique, une révocation peut affecter des jetons liés ou le consentement sous-jacent. Propagation, cache, tolérance d’horloge et dépendance au serveur forment la fenêtre réelle.

Jetons autonomes et jetons de référence sont donc des choix d’exploitation, non des garanties morales. Il faut fixer, selon le risque, le délai maximal pendant lequel un changement de compte, de rôle ou de politique peut rester sans effet.

La validation locale et la consultation d’état répondent à deux questions différentes : la première vérifie le jeton disponible, la seconde interroge une autorité sur son état courant. Une opération à fort impact exige un signal plus récent qu’une lecture ordinaire. Il faut inclure les caches d’autorisation des passerelles et applications, puis mesurer toute la chaîne : émission, propagation d’un retrait, validation locale ou introspection, et décision présente du serveur de ressources.

Il faut exiger un journal de décision d’autorisation qui doit associer l’empreinte non secrète du jeton, l’émetteur, le client, le sujet pertinent, l’audience, les portées, les dates d’émission et d’expiration, la méthode de validation, l’état de révocation ou d’introspection, la version de politique en vigueur, l’heure de décision du serveur de ressources et la durée maximale de mise en cache. Il montre quelle preuve a rendu l’acceptation raisonnable, sans confondre validation du jeton et nouvelle autorisation.