Authentification (Auth)

L'authentification est le processus par lequel un système vérifie qu'un utilisateur est bien celui qu'il prétend être, avant de lui accorder l'accès à des données ou à des fonctionnalités. Pour ce faire, il compare les identifiants de connexion, tels qu'un mot de passe, des données biométriques ou un code temporaire, avec ce que le système connaît déjà de l'utilisateur. Pour une PME disposant d'une boutique en ligne, d'un portail client ou de systèmes internes, l'authentification est la première ligne de défense contre l'accès non autorisé aux données des clients, aux commandes et aux informations commerciales.

Comment fonctionne l'authentification dans la pratique

Un processus d'authentification se compose de trois éléments : l'identification (qui êtes-vous ?), la vérification (pouvez-vous le prouver ?) et l'autorisation d'accès. Lorsqu'un client se connecte à votre boutique en ligne avec une adresse e-mail et un mot de passe, le système envoie ces données au serveur. Celui-ci compare les données saisies avec le hachage du mot de passe stocké dans la base de données. S'il y a correspondance, l'utilisateur reçoit un jeton de session ou jeton web JSON avec lequel le système vérifie à chaque demande ultérieure si l'utilisateur est toujours autorisé. Ce jeton expire après un certain temps, ce qui invalide automatiquement une ancienne session. Dans la pratique, nous constatons souvent avec les PME clientes que ce processus se déroule en moins de 200 millisecondes, ce qui est invisible pour l'utilisateur final mais crucial pour la sécurité.

Pourquoi l'authentification est née et pourquoi elle est importante aujourd'hui

L'authentification est aussi ancienne que les systèmes informatiques partagés. Lorsque plusieurs utilisateurs ont eu accès aux mêmes données, il est devenu nécessaire de contrôler qui était autorisé à voir ou à modifier quoi. Avec l'essor des applications web et des services en nuage, le processus est devenu plus complexe : les systèmes devaient reconnaître les utilisateurs à travers les appareils et les sessions. Pour les entreprises néerlandaises, l'authentification est également une obligation légale depuis la loi AVG. Vous devez être en mesure de prouver que seules les personnes autorisées ont accès aux données personnelles. Une violation de données due à une authentification insuffisante peut entraîner des amendes allant jusqu'à 4 % du chiffre d'affaires annuel, en plus d'une atteinte à la réputation.

Ce que l'authentification apporte aux PME

Pour une boutique en ligne avec des comptes clients, l'authentification forte empêche les parties malveillantes d'accéder à l'historique des commandes, aux détails de l'adresse ou aux méthodes de paiement stockées. Pour un portail B2B où les clients consultent des devis ou passent des commandes, elle protège les informations sensibles du point de vue de la concurrence. Combinée à une architecture de boutique en ligne bien pensée , vous pouvez définir différents niveaux d'authentification : accès de base pour les catalogues de produits, authentification pour les prix et contrôle strict pour l'historique des commandes. Nos trajectoires montrent que les entreprises qui mettent en œuvre l'authentification multifactorielle pour les panneaux d'administration réduisent de plus de 90 % le nombre de tentatives d'accès non autorisé. De plus amples informations sur la mise en œuvre sécurisée sont disponibles auprès de l'Autorité des données personnelles.

L’authentification joue un rôle dans pratiquement tous les systèmes numériques où les utilisateurs ou les collaborateurs ont besoin d’accéder à des données protégées. La manière dont vous la mettez en place dépend du niveau de risque des données, de l’expérience utilisateur que vous souhaitez offrir et des exigences légales applicables à votre secteur. Vous trouverez ci-dessous quatre situations concrètes dans lesquelles les PME ont recours à l’authentification, ainsi que les approches adaptées à chaque cas.

Comptes clients dans les boutiques en ligne et les portails

Une boutique en ligne dont les clients sont fidèles propose souvent un compte où sont stockés l'historique des commandes, les listes de souhaits et les adresses sauvegardées. L'authentification garantit que seul le propriétaire de ce compte peut consulter ou modifier ces données. La méthode la plus courante est une combinaison d'adresse électronique et de mot de passe, complétée par un flux de récupération du mot de passe par courrier électronique. Pour les boutiques en ligne dont le montant des commandes est plus élevé ou dont les produits sont sensibles, comme les appareils médicaux ou les logiciels d'entreprise, on observe de plus en plus souvent une authentification à deux facteurs: après avoir saisi le mot de passe, le client reçoit un code par SMS ou par l'app authentificateur. Cela réduit le risque de prise de contrôle du compte, en particulier pour les clients qui utilisent le même mot de passe sur plusieurs sites. Dans une boutique en ligne professionnelle, l'authentification est liée à l'autorisation, de sorte que les clients professionnels voient des prix ou des produits différents de ceux des clients privés.

Systèmes internes et applications commerciales

Les employés qui ont besoin d'accéder à un CRM, un ERP ou un outil de gestion de projet se connectent par authentification. Dans de nombreuses PME, cela se fait encore avec des mots de passe distincts pour chaque système, ce qui entraîne une lassitude à l'égard des mots de passe et des combinaisons faibles. Une meilleure approche est l'authentification unique, où les employés se connectent une seule fois et obtiennent ensuite un accès automatique à tous les systèmes liés. Cela réduit le nombre de mots de passe, diminue le risque d'hameçonnage et facilite la révocation de l'accès lorsque quelqu'un quitte son poste. Pour les entreprises qui emploient des salariés à distance ou des consultants externes, il est judicieux d'enregistrer les tentatives de connexion et de repérer les schémas anormaux, tels que les connexions à partir d'endroits inhabituels ou à des heures bizarres.

Accès à l'API pour les liens et les intégrations

Lorsque votre boutique en ligne ou votre site internet communique avec des systèmes externes, tels qu’un logiciel de comptabilité, un partenaire d’expédition ou un outil d’automatisation du marketing, cela se fait via une API. Ces connexions doivent également être authentifiées, mais sans intervention humaine. Pour cela, les systèmes utilisent des clés API, des jetons OAuth ou des identifiants client. Une erreur courante consiste à stocker les clés API en dur dans le code source d’un site internet, ce qui les rend visibles à toute personne ayant accès au code. Il est préférable de stocker les clés dans des variables d’environnement sur le serveur et de les renouveler régulièrement. Dans une application web développée de manière professionnelle, les clés API sont associées à des droits spécifiques, de sorte qu’une connexion ne puisse récupérer ou modifier que les données auxquelles elle est destinée.

Quand l'authentification est le bon choix et quand elle ne l'est pas

L'authentification est nécessaire dès que vous stockez des données personnelles, que vous traitez des paiements ou que vous permettez aux utilisateurs d'accéder à un contenu personnalisé. Elle est également obligatoire en vertu de la LVP pour les systèmes qui donnent accès à des données identifiables. Lorsque l'authentification n'est pas nécessaire : pour un contenu entièrement public tel qu'un blog ou un catalogue de produits sans prix. Dans ces cas, un écran de connexion ne fait qu'ajouter de la friction sans valeur ajoutée. Il convient de noter que l'authentification ne résout pas les problèmes d'autorisation. Elle confirme l'identité d'une personne, mais pas ce qu'elle est autorisée à faire. Pour cela, vous avez besoin d'un système d'autorisation distinct qui gère les rôles et les droits. Un utilisateur peut se connecter avec succès mais ne pas être autorisé à accéder à certaines fonctions, en fonction de son rôle.