Qu'est-ce qu'un Token OAuth ?
Un token OAuth est un identifiant numérique délivré par un serveur d'autorisation, qui permet à une application, un script ou un agent d'accéder à une ressource protégée — une API, un espace de stockage, une boîte mail — au nom d'un utilisateur ou d'un système, sans jamais manipuler le mot de passe sous-jacent. Défini par le protocole OAuth 2.0, il existe typiquement deux formes de tokens : les access tokens, à durée de vie courte, utilisés pour appeler des API, et les refresh tokens, plus longs, utilisés pour obtenir de nouveaux access tokens sans ré-authentification. Chaque token porte un scope défini (ce qu'il autorise) et souvent une expiration, et peut être révoqué de manière centralisée. En découplant l'accès de l'identifiant, le token OAuth est au cœur des intégrations SaaS-à-SaaS, des applications tierces et des flux d'autorisation des agents IA.
Pourquoi c'est important
Le token OAuth est une cible d'attaque privilégiée précisément parce qu'il contourne le MFA et le contrôle de mot de passe une fois émis — quiconque le détient peut agir avec le scope accordé jusqu'à expiration ou révocation. Dans les faits, les tokens sont fréquemment sur-scopés (des droits bien plus larges que nécessaire), à durée de vie longue, et dispersés entre applications tierces, extensions navigateur et intégrations d'agents IA jamais revues par la sécurité. Un token exposé ou trop permissif devient une porte dérobée durable vers la messagerie, le stockage cloud ou le CRM. Selon l'OWASP NHI Top 10 (2025), 80% des brèches d'identité impliquent une identité non humaine (NHI), et le token OAuth se trouve au centre de cette exposition : avec des identités machines qui dépassent désormais les effectifs humains dans un rapport de 45 pour 1, et une entreprise de 100 personnes qui gère typiquement plus de 2 000 NHI, la couche des tokens reste souvent la plus invisible du parc identitaire. Avec NIS2 (application dès le 1er octobre 2026) et l'Objectif 13 du ReCyF de l'ANSSI, les identifiants machines, y compris les autorisations OAuth, entrent explicitement dans le périmètre de gouvernance des comptes techniques.
Comment Cydenti vous aide
Cydenti découvre en continu les autorisations OAuth actives sur les plateformes SaaS connectées, en cartographiant quelles applications et quels agents détiennent des tokens, avec quels scopes, et depuis combien de temps ces droits n'ont pas été revus. La plateforme signale les tokens sur-scopés, inactifs ou obsolètes, et révèle les intégrations tierces jamais validées par la sécurité, offrant une vue unifiée là où l'analyse manuelle se ferait application par application. Couplé au scoring de risque identitaire, Cydenti aide à prioriser les autorisations réellement exposées face aux connexions de routine. Découvrez comment l'approche de gestion des risques OAuth de Cydenti transforme cette prolifération en un périmètre gouvernable.
Explorer →Questions fréquentes
Quelle est la différence entre un token OAuth et une clé API ?
Une clé API est généralement un identifiant statique unique qui identifie l'application appelante. Un token OAuth est émis via un flux d'autorisation, porte un scope et une expiration définis, et peut représenter un accès délégué par un utilisateur précis — ce qui le rend plus granulaire et plus facilement révocable qu'une clé API classique.
Un token OAuth reste-t-il valide après un changement de mot de passe ?
Souvent oui. De nombreux tokens OAuth restent valides indépendamment du mot de passe de l'utilisateur, sauf révocation explicite par le serveur d'autorisation ou suppression de l'autorisation par l'application. C'est pourquoi des tokens obsolètes ou trop permissifs peuvent subsister même après une réinitialisation d'identifiants, d'où l'importance d'une revue active.
Découvrez les identités machines que vous ignoriez posséder
— en 27 minutes, gratuitement.
L’application de NIS2 commence le 1er octobre 2026. L’Audit Flash livre votre photographie complète d’exposition NHI — comptes de service, identifiants orphelins, autorisations OAuth, agents IA — avec un premier rapport en 3 heures. Sans engagement.
Sans engagement · Données hébergées en France · Réponse sous 24h