🔓 C'est quoi l'authentification ?

Petit disclaimer: si tu n'es pas à l'aise avec les concepts de requêtes HTTP je te conseille de commencer par lire la mini-série "Comment fonctionne une web-app". Bonne lecture ! 🤩

L'Authentification est la première pierre fondatrice de toute web-application.
En anglais, on utilise le terme "authentication", souvent abrégée en Auth, et plus précisément AuthN.

L'objectif de l'authentification, c'est définir QUI fait la requête et vérifier si la personne qui fait la requête est bien celle qui prétend l'être.

Pour comprendre à quoi ça sert, on va prendre l'exemple d'une API sans authentification :

🔓 Une API sans authentification

Lorsque vous utilisez twitter, votre ordinateur va envoyer une requête au serveur pour créer un nouveau tweet, qui sera publié au nom de quelqu'un.

Sans authentification, on peut imaginer que vous pouvez envoyer  :

POST twitter.com/new-tweet

{
text: "J'écris donc je suis."
    author: "@elon-musk"
}

Dans cet exemple, vous avez créé un nouveau tweet qui sera publié au nom d'Elon Musk.

Sauf que vous n'êtes peut-être pas Elon Musk...

On se confronte ici à un principe fondamental en backend : il ne faut jamais faire confiance aux requêtes.

La preuve ici, n'importe qui peut créer un nouveau tweet au nom d'Elon Musk.

Il suffit de "dire qu'on est Elon Musk"...

Et l'authentification est le système qui va nous permettre de résoudre ce problème !

🛃 L'authentification, c'est comme ton passeport à la douane

Quand vous entrez dans un pays, vous êtes en possession d'un passeport unique et infalsifiable qui permet aux autorités de savoir qui vous êtes, et d'authentifier que vous êtes vraiment qui vous prétendez être.
À chaque fois que vous passez une frontière, la douane peut donc vérifier votre identité.

L'authentification, c'est exactement pareil !

Vous allez envoyer dans chaque requête une preuve de votre identité, en quelque sorte un passeport digital, pour que le serveur puisse vérifier votre identité.

Comment ça marche

Pour pouvoir vous authentifier sur une web-app vous allez devoir créer un compte.
Ce compte sera associé à un identifiant unique, par exemple @elon-musk.

Tous les tweets créés par ce compte seront publiés sous le nom de Elon Musk.
Cela permet de vous identifier de manière unique.

Mais ce n'est pas tout ! 😁

Il faut que le backend puisse certifier que vous êtes bien le propriétaire du compte.
Pour cela, il faut que vous soyez la seule personne capable d'accéder à ce compte.

Lorsque vous avez créé votre compte, vous avez rempli des "credentials", ce sont des informations que vous êtes seul·e à connaitre: la combinaison email et mot de passe.

Quand vous allez vous connecter sur twitter, vous envoyez au serveur votre email/mot de passe et le serveur va donc vérifier que le mot de passe que vous envoyez est bien le même que celui qui est enregistré.

if (formulaire.password === database.password) => OK
// OUI ce code est TRES simplifié 🤗

Si ce n'est pas le même, c'est que vous n'êtes pas le propriétaire du compte @elon-musk.

🔐 L'authentification basique

On peut donc considérer que posséder à la fois le mail et le mot de passe d'un compte est la preuve que vous en êtes le propriétaire.

Il existe donc un système d'authentification très simple qui consiste à chaque requête au serveur à envoyer ces preuves d'identité en plus de votre requête.

Les informations d'authentification sont alors transmises dans une partie dédiée de la requête. Cette partie on appelle ça "l'en-tête", en anglais: headers.

Votre requête sera donc :

POST twitter.com/new-tweet

Authorization: "mail=elon@twitter.com, password=12345"

{
	text: "J'écris donc je suis.
		"author: "@elon-musk"
}

Si vous n'avez pas les bons credentials -> vous n'êtes pas propriétaire du compte -> vous ne pouvez pas poster de tweet en son nom
=> le serveur vous renvoie une réponse d'erreur 401 - Unauthorized.

Cette manière de s'authentifier s'appelle la "basic auth".
Elle a longtemps été utilisée et permet de facilement comprendre le concept d'authentication.

Et maintenant qu'on sait QUI fait la requête, on va pouvoir vérifier si cette personne a le droit de faire cette requête !

On verra donc ensuite le concept d'authorization qui fait ce travail ! ( oui je tease à mort et alors ?? 😂 )

Continuer à lire:

C’est quoi les tokens d’authentification ?

Si tu n’es pas à l’aise avec le concept d’authentification, j’ai concocté il y a quelques mois un article qui explique comment ça fonctionne de manière simple et claire ! 🔓 C’est quoi l’authentification ?Petit disclaimer: si tu n’es pas à l’aise avec les concepts de requêtes HTTP

Decode - by TancrèdeTancrède Simonin

C’est quoi l’authorization ?

Petit disclaimer : cet article est la suite du premier épisode => c’est quoi l’authentication. Si vous n’êtes pas à l’aise avec le concept d’authentication je vous conseille donc de le lire en premier ! 😘 La différence entre l’authentication et l’authorization L’authentication est le process…

Decode - by TancrèdeTancrède Simonin

Pour ne rien rater tu peux t'inscrire pour recevoir chaque article directement par mail ! Tu peux aussi t'abonner sur Linkedin 😎