Qu'est-ce qu'un Token OAuth ?
Un token OAuth est un identifiant numérique délivré par un serveur d'autorisation, qui permet à une application, un script ou un agent d'accéder à une ressource protégée — une API, un espace de stockage, une boîte mail — au nom d'un utilisateur ou d'un système, sans jamais manipuler le mot de passe sous-jacent. Défini par le protocole OAuth 2.0, il existe typiquement deux formes de tokens : les access tokens, à durée de vie courte, utilisés pour appeler des API, et les refresh tokens, plus longs, utilisés pour obtenir de nouveaux access tokens sans ré-authentification. Chaque token porte un scope défini (ce qu'il autorise) et souvent une expiration, et peut être révoqué de manière centralisée. En découplant l'accès de l'identifiant, le token OAuth est au cœur des intégrations SaaS-à-SaaS, des applications tierces et des flux d'autorisation des agents IA.
Pourquoi c'est important
Le token OAuth est une cible d'attaque privilégiée précisément parce qu'il contourne le MFA et le contrôle de mot de passe une fois émis — quiconque le détient peut agir avec le scope accordé jusqu'à expiration ou révocation. Dans les faits, les tokens sont fréquemment sur-scopés (des droits bien plus larges que nécessaire), à durée de vie longue, et dispersés entre applications tierces, extensions navigateur et intégrations d'agents IA jamais revues par la sécurité. Un token exposé ou trop permissif devient une porte dérobée durable vers la messagerie, le stockage cloud ou le CRM. Dans la plupart des organisations, les identités machine sont bien plus nombreuses que les collaborateurs — et la plupart n'ont ni propriétaire, ni privilèges ajustés, ni date d'expiration. La transposition de NIS2 en France (projet de loi Résilience) est en cours d'examen au Parlement ; l'ANSSI publie déjà le référentiel ReCyF pour s'y préparer.
Comment Cydenti vous aide
Cydenti découvre en continu les autorisations OAuth actives sur les plateformes SaaS connectées, en cartographiant quelles applications et quels agents détiennent des tokens, avec quels scopes, et depuis combien de temps ces droits n'ont pas été revus. La plateforme signale les tokens sur-scopés, inactifs ou obsolètes, et révèle les intégrations tierces jamais validées par la sécurité, offrant une vue unifiée là où l'analyse manuelle se ferait application par application. Couplé au scoring de risque identitaire, Cydenti aide à prioriser les autorisations réellement exposées face aux connexions de routine. Découvrez comment l'approche de gestion des risques OAuth de Cydenti transforme cette prolifération en un périmètre gouvernable.
Explorer →Questions fréquentes
Quelle est la différence entre un token OAuth et une clé API ?
Une clé API est généralement un identifiant statique unique qui identifie l'application appelante. Un token OAuth est émis via un flux d'autorisation, porte un scope et une expiration définis, et peut représenter un accès délégué par un utilisateur précis — ce qui le rend plus granulaire et plus facilement révocable qu'une clé API classique.
Un token OAuth reste-t-il valide après un changement de mot de passe ?
Souvent oui. De nombreux tokens OAuth restent valides indépendamment du mot de passe de l'utilisateur, sauf révocation explicite par le serveur d'autorisation ou suppression de l'autorisation par l'application. C'est pourquoi des tokens obsolètes ou trop permissifs peuvent subsister même après une réinitialisation d'identifiants, d'où l'importance d'une revue active.
Découvrez les identités machines que vous ignoriez posséder
— le premier inventaire arrive en général sous une semaine.
L’Audit Flash connecte jusqu’à trois applications SaaS en lecture seule et liste les comptes de service, identifiants orphelins, autorisations OAuth et agents IA qu’il voit. Le premier inventaire des identités arrive en général sous une semaine. Un scan complet des partages, sur un grand tenant, peut prendre plus longtemps. Sans engagement.
Sans engagement · Données hébergées en Europe · Réponse sous 24h