Flux d'authentification utilisateur · Cartes mentales

Flux d'authentification utilisateur · Cartes mentales

Le canevas MindMap interactif de cette explication : chaque couloir, ligne et flèche ci-dessus appartient à un véritable diagramme QueryChart que vous pouvez ouvrir et modifier.

Comment lire cette carte mentale

• Commencez par le sujet central, puis suivez une branche colorée pour explorer ses idées.
• Les courbes montrent les liens; les flèches indiquent les relations où le sens compte.

Register

Cette branche rassemble “User creates an account”, “The password is salted and hashed before it is ever stored — the service cannot recover the plaintext, and a leaked database does not leak credentials.”, “Hashed credential is stored in the database”, “Client sends email and password”.

Sign in

Cette branche rassemble “User signs in with credentials”, “Client forwards them to the auth service”, “Hash matches the stored one?”.

Session

Cette branche rassemble “Auth service creates a session”, “Client stores the session token”.

Protected requests

Cette branche rassemble “The token proves the session without re-entering the password. Multi-factor authentication inserts a second check at sign-in when the risk profile demands it.”, “Access granted for the session”.

Failure path

Cette branche rassemble “Sign-in denied”.

Liens entre les branches

Les mots de passe sont hachés avant le stockage : la base de données contient un hachage unidirectionnel salé, jamais le texte brut.

La connexion compare les hachages, de sorte que le service d'authentification lui-même ne peut pas récupérer le mot de passe stocké.

Le jeton de session remplace le mot de passe pour les requêtes ultérieures, ce qui rend l'authentification pratique à grande échelle.

Le stockage et la vérification sont des préoccupations distinctes dans des voies différentes, chacun pouvant donc être protégé séparément.

Le flux a la même forme, que le jeton soit une session serveur ou un JWT : voir le visuel JWT pour la mécanique du jeton.

Relations et enseignements clés

• Les mots de passe sont hachés avant le stockage : la base de données contient un hachage unidirectionnel salé, jamais le texte brut.
• La connexion compare les hachages, de sorte que le service d'authentification lui-même ne peut pas récupérer le mot de passe stocké.
• Le jeton de session remplace le mot de passe pour les requêtes ultérieures, ce qui rend l'authentification pratique à grande échelle.
• Le stockage et la vérification sont des préoccupations distinctes dans des voies différentes, chacun pouvant donc être protégé séparément.
• Le flux a la même forme, que le jeton soit une session serveur ou un JWT : voir le visuel JWT pour la mécanique du jeton.

Quand utiliser ce visuel

• Enseigner à une nouvelle équipe la forme sécurisée de l’authentification avant de concevoir sa première connexion.
• Révision d'un flux d'authentification pour les failles classiques : stocker le texte en clair, comparer le texte en clair, faire confiance au client.
• Ancrer une conversation sur l'authentification multifacteur et son lien avec le flux.

Comment cela fonctionne

1. Adapter le sujet central

   Renommez le sujet pour votre projet ou votre cours.

2. Développer les branches

   Modifiez les idées et ajoutez des exemples ou des notes.

3. Relier les idées

   Reliez les branches; utilisez une flèche lorsque le sens est important.

Questions fréquentes

Quel est le moyen sécurisé de stocker les mots de passe ?

Ne stockez jamais le mot de passe lui-même. Stockez un hachage salé (une fonction unidirectionnelle appliquée au mot de passe plus un sel aléatoire) et supprimez le texte en clair. Lors de la connexion, hachez le mot de passe entrant de la même manière et comparez les hachages. Si la base de données fuit, l'attaquant obtient des hachages qu'il ne peut pas inverser, ce qui est exactement la propriété pour laquelle les boîtes de hachage du visuel existent.

Quelle est la différence entre le hachage et le cryptage ?

Le cryptage est réversible : avec la clé vous pouvez récupérer la valeur originale. Le hachage est à sens unique : il n'y a pas de clé ni de retour. Pour les mots de passe que vous souhaitez hacher, car vous n'avez plus jamais besoin du texte en clair, seulement de la possibilité de vérifier. Le visuel indique « hachage » plutôt que « crypte » pour cette raison ; le cryptage des mots de passe est une confusion courante et dangereuse.

Comment un jeton de session remplace-t-il le mot de passe ?

Après une connexion réussie, le service d'authentification crée une session et remet au client un jeton (une valeur aléatoire ou un JWT signé) qui représente l'utilisateur authentifié. Les requêtes protégées portent le jeton et le serveur le valide au lieu de demander à nouveau le mot de passe. C’est ce qui rend l’authentification pratique pour les requêtes répétées, et c’est pourquoi l’expiration du jeton constitue la véritable limite de sécurité.

Quelle est la place de l’authentification multifacteur dans ce flux ?

MFA est un contrôle supplémentaire lors de la connexion, après la vérification du mot de passe et avant la création de la session : l'utilisateur fournit un deuxième facteur : un code à usage unique, une application d'authentification, une clé matérielle. La colonne de connexion du visuel est l'endroit où cette étape se connecte. MFA ne modifie pas les mécanismes de hachage ou de session ; il place la barre plus haut sur la seule décision, "Le hachage correspond à celui stocké ?", en ajoutant une deuxième preuve.

Modifier cette carte mentale dans QueryChart

Ouvrez cette carte mentale sur un espace modifiable. Déplacez les idées et ajoutez des branches et des liens.

Modifier cette carte mentale dans QueryChart