Concevoir l’authentification et les permissions d’un produit

Que vais-je savoir spécifier à la fin de ce cours, et dans quel ordre ?

1. Présentation du cours2 étapes

   Objectif · À la fin de cette présentation, vous saurez ce que vous serez capable de spécifier (l'authentification et les permissions de votre produit), les deux livrables que vous produirez et par quels quatre modules le cours vous y conduit.

Comment vérifier l'identité des utilisateurs, garder leur session et leur rendre l'accès sans ouvrir de faille ?

1. Authentification, autorisation et sessions5 étapes

   Objectif · À la fin de cette leçon, vous serez capable de distinguer authentification, autorisation et session, d'expliquer ce que changent un cookie de session et un jeton (JWT, jeton de renouvellement), et de spécifier pour votre produit les durées de session, la déconnexion et la révocation des accès.

2. Mots de passe et récupération de compte5 étapes

   Objectif · À la fin de cette leçon, vous serez capable d'écrire des règles de mot de passe conformes aux recommandations actuelles (NIST SP 800-63B-4, CNIL), de spécifier un parcours de mot de passe oublié qui ne révèle pas quels comptes existent, et de repérer les failles des parcours de récupération de compte.

3. Double authentification et passkeys5 étapes

   Objectif · À la fin de cette leçon, vous serez capable de comparer les facteurs d'authentification (SMS, application TOTP, passkeys), de choisir ceux que votre produit propose ou impose selon les rôles, et de spécifier l'activation, les codes de secours, la récupération et le plan de déploiement.

Quand laisser Google, Microsoft ou l'annuaire d'une entreprise authentifier vos utilisateurs, et que faut-il spécifier ?

1. OpenID Connect et connexion avec Google, Apple ou Microsoft5 étapes

   Objectif · À la fin de cette leçon, vous serez capable d'expliquer ce qu'OpenID Connect ajoute à OAuth 2.0, de décider si votre produit propose une connexion sociale et avec quels fournisseurs, et de spécifier les règles de rattachement de comptes qui évitent les prises de contrôle.

2. SSO d'entreprise, SAML, OIDC et provisionnement SCIM5 étapes

   Objectif · À la fin de cette leçon, vous serez capable de spécifier le SSO d'un client entreprise (protocole, vérification du domaine, connexion imposée, correspondance des rôles), de choisir entre création à la première connexion et provisionnement SCIM, et de prévoir le départ d'un salarié, les comptes de secours et les pannes du fournisseur d'identité.

Comment concevoir des rôles et des permissions clairs, et garantir qu'aucun client ne voit les données d'un autre ?

1. Rôles, attributs et matrice rôles × actions5 étapes

   Objectif · À la fin de cette leçon, vous serez capable de construire la matrice rôles × actions de votre produit, avec la portée de chaque droit (tout le compte, un périmètre, ses propres objets), de choisir entre rôles fixes, attributs et rôles personnalisés, et d'écrire les règles d'application côté serveur (refus par défaut, moindre privilège).

2. Isolation entre clients, invitations, audit et suppression de compte5 étapes

   Objectif · À la fin de cette leçon, vous serez capable de spécifier l'isolation des données entre clients d'un produit multi-tenant, les invitations et les utilisateurs membres de plusieurs organisations, l'accès du support, le journal d'audit et la suppression de compte.

Comment rassembler parcours et permissions dans une spec, et faut-il construire l'authentification ou l'acheter ?

1. Spécifier les parcours et choisir un fournisseur6 étapes

   Objectif · À la fin de cette leçon, vous serez capable de spécifier les sept parcours d'authentification de votre produit (inscription, connexion, mot de passe oublié, SSO, double authentification et passkeys, invitation, suppression de compte) avec leurs états, erreurs et messages, et de choisir entre construire l'authentification et utiliser un fournisseur.

2. Kit de sortie et plan d'application4 étapes

   Objectif · À la fin de cette leçon, vous disposerez des modèles, checklists et prompts du cours (matrice rôles × actions, tableau des sessions, fiche de parcours, checklist SSO, checklist de sécurité des parcours), et vous aurez planifié leur application à votre produit sur 7 et 30 jours.