Authentification sécurisée : l’interface OAuth de Twitter passe en bêta publique

Twitter fait un pas de plus vers l’interopérabilité des plates-formes Web 2.0. Le service de micro-blogging a annoncé lundi qu’il allait mettre le protocole d’authentification sécurisée OAuth à la disposition de tous les développeurs intéressés. Jusqu’en février, seul un groupe restreint de développeurs y avait accès. Désormais, Oauth passe en mode bêta public.

Dans cet objectif, Twitter cherche à endiguer les risques d’usurpations d’identité ou de « phishing », une technique utilisée pour obtenir des renseignements personnels dans le but d’obtenir les informations pour accéder au compte bancaire, téléphonique ou autre d’un internaute.

Twitter est à l’origine de ce projet qui a démarré en 2006 : similaire à OpenID (récemment adopté par Dailymotion), OAuth a vocation à fournir un système d’authentication sécurisé par interface de programmation (API).

Objectif : monter des passerelles d’accès entre les plates-formes communautaires (je m’identifie sur un site A et je peux me rendre sur un site B, sans nécessairement dévoiler mes données personnelles au site B).

Sur le site d’OAuth, le protocole est comparé à une clé qui permet par exemple de conduire une voiture sans avoir accès au coffre : « Vous donnez un accès limité à votre voiture grâce à une clé spéciale et votre clé normale pour tout fermer. Oauth, à la différence du standard OpenID, donne un accès limité à son ou ses sites sans divulguer identifiant et mot de passe. »

Néanmoins, il faut faire une distinction entre les deux approches. Dans la partie FAQ, il est précisé que OAuth n’est pas une extension d’OpenID et, d’un point de vue des spécifications, « il y a peu de liens ». Juste des « auteurs en commun » impliqués dans les projets et une volonté de développer des « spécifications ouvertes dans le domaine de l’authentification et le contrôle d’accès ».

Twitter n’est pas le seul à utiliser OAuth. En juin 2008, Google a annoncé qu’il utiliserait ce protocole avec ses API Google Data et Google Gadgets. La liste pourrait s’étendre à des acteurs comme Digg, Jaiku, Flickr, Ma.gnolia, Plaxo, Pownce, Twitter, Yahoo et d’autres.