Le blog
Identity Security racontée par quelqu'un qui a d'abord écrit les applications. Chaque article part d'un problème réel et se termine sur ce que j'en ai fait dans mon lab.
Comprendre Authorization Code Flow avec PKCE : code_verifier, code_challenge, échange du code et protection contre le vol du code d’autorisation.
Un access token valide ne garantit pas l’accès. Comprendre la différence entre validation du jeton, droits transportés et autorisation effective.
ID token, access token et refresh token n’ont pas le même rôle. Voici qui les reçoit, à quoi ils servent et comment éviter de les confondre.
Suivre un login SSO avec OpenID Connect : redirection vers l’Identity Provider, code d’autorisation, échange de tokens et création de session.
Comprendre la différence entre authentification et autorisation, pourquoi un utilisateur connecté peut recevoir un 403, et où l’API doit décider.