Glossaire · Concepts fondamentaux
Autorisation
Aussi appelé : Authorization · AuthZ · Contrôle d'accès
Définition
L'autorisation est le mécanisme qui décide ce qu'un utilisateur déjà authentifié a le droit de faire : consulter un dossier, modifier une facture, administrer un compte. Si l'authentification est le contrôle d'identité à l'entrée, l'autorisation est le badge qui ouvre certaines portes et pas d'autres. Elle s'organise le plus souvent par rôles (RBAC) ou par attributs (ABAC), et s'applique à chaque requête, jamais une fois pour toutes.
Dans la pratique
Les failles d'autorisation (un utilisateur qui accède aux données d'un autre en changeant un identifiant dans l'URL) figurent parmi les vulnérabilités web les plus fréquentes. Dans un besoin, l'autorisation se cache derrière des mots comme « gestion des droits », « multi-tenant » ou « profils utilisateurs ». Le profil doit savoir modéliser les droits de façon centrale et testable plutôt que de disperser des conditions dans tout le code.
Termes liés
Définition rédigée par L'équipe Top Profil. Glossaire mis à jour le . Tous les termes du glossaire.