Mot de passe, jeton, session, OAuth2 : ce que ces termes signifient pour les annonces
Chacun de ces termes est emprunté à la documentation des développeurs, et chacun d'eux désigne quelque chose de plus restreint sur une fiche produit que dans ce contexte. Comprendre cet écart, c'est ce qui vous évite d'acheter un format que votre outil ne peut pas lire.
Avery Bennett
Les annonces décrivent ce que vous recevrez en utilisant des mots tirés de la documentation développeur : token, session, OAuth2. Quiconque a déjà travaillé avec une API a rencontré ces trois termes, et c'est bien là le problème, car dans une annonce, chacun d'eux a un sens plus restreint et plus spécifique que dans la documentation dont ils proviennent.
Se tromper sur ce point est l'erreur la plus coûteuse possible ici, car les incompatibilités de format sont généralement des pertes totales plutôt que partielles. Le compte peut être exactement tel que décrit et pourtant inutilisable pour ce pour quoi vous l'avez acheté.
Mot de passe uniquement
Vous recevez : un identifiant et un mot de passe. Rien d'autre.
C'est le seul format sans signification cachée, et il vaut la peine de noter ce qu'il n'inclut pas. Il n'y a pas de second facteur, ce qui a un double tranchant : vous pouvez définir le vôtre immédiatement, mais n'importe qui d'autre détenant les mêmes identifiants le peut aussi. Si le titulaire d'origine dispose encore d'un moyen de récupération, un mot de passe est la position la plus faible que vous puissiez occuper, car c'est la première chose qu'un processus de récupération est conçu pour réinitialiser.
Parfait pour se connecter de temps en temps. Un mauvais choix pour tout ce que vous comptez conserver.
Mot de passe plus un second facteur
Vous recevez : ce qui précède, plus quelque chose qui satisfait la deuxième étape. Et c'est là que les annonces compressent trois choses très différentes en un seul mot.
- Un secret partagé (la graine derrière une application d'authentification) signifie que vous pouvez générer des codes vous-même indéfiniment. C'est la version forte.
- Une liste de codes de secours est un nombre fini d'utilisations uniques. Une fois épuisée, vous êtes verrouillé à moins d'avoir remplacé le facteur d'ici là.
- Un mot de passe cloud, comme celui utilisé par Telegram, est une chaîne fixe plutôt que quelque chose de rotatif.
La question à poser à une annonce est de savoir lequel des trois vous obtenez, car « 2FA inclus » les couvre tous et ils ne sont pas équivalents. Un second facteur que vous ne pouvez pas régénérer est un compte à rebours, pas une fonctionnalité de sécurité.
Token ou clé API
Vous recevez : une chaîne d'identifiants émise par la plateforme, généralement sans mot de passe à côté.
Voici l'écart avec le sens développeur. Dans la documentation API, un token est généralement quelque chose que vous créez vous-même et que vous pouvez recréer à volonté. Dans une annonce, c'est un identifiant qui existe déjà, que vous n'avez pas créé, et que vous ne pouvez généralement pas renouveler. Lorsqu'il expire ou est révoqué, il disparaît, et sans le mot de passe sous-jacent, il n'y a rien vers quoi se rabattre.
La deuxième différence compte tout autant : les tokens ne peuvent généralement pas être utilisés pour se connecter via une interface web normale. Si votre plan impliquait de vous connecter et de naviguer, un token ne fait pas cela, peu importe sa validité.
Fichiers de session
Vous recevez : des données représentant une connexion déjà effectuée, comme un dossier TDATA Telegram ou un fichier .session, ou des cookies de navigateur pour une plateforme web.
La propriété critique, et celle à laquelle presque personne ne pense à l'achat : une session est une copie, et les copies ne s'excluent pas mutuellement. Plusieurs personnes peuvent détenir la même session simultanément et toutes être connectées. Le fait d'en recevoir une ne vous dit pas si quelqu'un d'autre l'a encore.
La seule façon de le savoir est de consulter la liste des appareils autorisés ou des sessions actives de la plateforme une fois que vous êtes dedans, et de mettre fin à celles que vous ne reconnaissez pas. Traitez cela comme faisant partie de la réception des biens plutôt que comme une étape de sécurité facultative, et faites-le pendant qu'il est encore temps de vous plaindre.
OAuth2
Vous recevez : un jeton d'actualisation (refresh token), plus l'identifiant client et le secret contre lesquels il a été émis.
C'est le format où l'incomplétude est la plus courante et la moins évidente. Un jeton d'actualisation existe pour être échangé contre de nouveaux jetons d'accès, mais l'échange nécessite les identifiants client sous lesquels il a été émis. Recevez le jeton d'actualisation sans eux et vous avez une chaîne qui fonctionne jusqu'à ce que le jeton d'accès actuel expire, puis s'arrête pour toujours.
Tout semble correct à la livraison, et c'est exactement le problème. Le test n'est pas « est-ce que ça marche maintenant » mais « puis-je effectuer une actualisation », et ce sont des tests différents. Faites le deuxième.
Comment le marché évalue le format, ce qui est incohérent
Bon à savoir car cela affecte l'endroit où il vaut la peine de négocier :
- Sur Telegram, le format n'est pas du tout évalué. Les annonces TDATA, session et JSON se situent au même niveau, donc il n'y a aucune raison d'accepter le mauvais.
- Sur certaines étagères de boîtes mail, l'accès par protocole est l'attribut le moins cher mesuré, pratiquement gratuit, tandis que les attributs de vérification coûtent près du double du prix médian. Un acheteur qui optimise pour « mon outil peut se connecter » optimise l'axe gratuit.
- Sur une étagère de boîtes mail, le même attribut de protocole coûte près du double du prix médian, le seul endroit où cette inversion apparaît. Les habitudes de catégorie ne se transfèrent pas.
Donc la généralisation utile est qu'il n'y a pas de généralisation. Lisez le prix du format sur l'étagère où vous achetez réellement.
Quelles erreurs sont rattrapables
La livraison est instantanée sur tout le catalogue et la fenêtre de garantie médiane est de douze heures, donc chaque vérification ci-dessous est disponible immédiatement et aucune ne l'est plus tard.
- Rattrapable : recevoir un format que votre outil ne peut pas lire, si vous le remarquez dans la fenêtre. C'est une incompatibilité propre et factuelle par rapport à l'annonce.
- Rattrapable si vous vérifiez : une session que quelqu'un d'autre détient encore, mais seulement si vous consultez la liste des appareils plutôt que de supposer.
- Généralement pas rattrapable : un jeton d'actualisation OAuth2 sans ses identifiants client, si vous avez seulement testé que le jeton d'accès actuel fonctionnait. Au moment où il échoue, la fenêtre est fermée depuis longtemps.
- Pas rattrapable du tout : des codes de secours épuisés. Il n'y a aucune version de cela qui se termine bien, c'est pourquoi identifier quel type de second facteur vous a été donné figure en tête de liste.
La version spécifique à Telegram, couvrant les fichiers TDATA et session en détail, approfondit cette étagère. La liste de contrôle avant achat couvre les vérifications autour de ces formats.
Frequently Asked Questions
Une chaîne d’identification émise par la plateforme, qui vous est remise sans le mot de passe associé. Cela diffère de la notion de développeur sur deux points importants : vous ne l’avez pas créée et, en général, vous ne pouvez pas la recréer, donc lorsqu’elle expire, vous n’avez aucun recours ; de plus, elle ne permet généralement pas de se connecter via une interface web classique.
Non. Une session représente une connexion terminée et est importée dans un client ou une bibliothèque, qui se comporte alors comme un utilisateur déjà authentifié. Un jeton est une information d’identification présentée à chaque requête à une interface. Ils ne sont pas interchangeables, et un outil conçu pour l’un n’acceptera pas l’autre.
Ce sont des copies, et les copies ne s'excluent pas mutuellement. Plusieurs titulaires peuvent être connectés en même temps, et rien dans la réception du fichier ne vous indique si quelqu'un d'autre l'a encore. La seule façon de le savoir est de consulter la liste des appareils autorisés de la plateforme une fois que vous êtes connecté, puis de mettre fin à ce que vous ne reconnaissez pas.
Recevoir un token de rafraîchissement sans l’identifiant client et le secret avec lesquels il a été émis. Un token de rafraîchissement sert à être échangé contre de nouveaux tokens d’accès, et cet échange nécessite ces identifiants. Tout semble fonctionner à la livraison, puis cesse définitivement de marcher lorsque le token d’accès actuel expire, ce qui se produit généralement bien après la fin de la période de garantie.
Non, et les différences sont importantes. Cela peut désigner un secret partagé à partir duquel vous pouvez générer des codes indéfiniment, une liste finie de codes de secours, ou un mot de passe cloud fixe. Seul le premier est durable. Une liste de codes de secours est un compte à rebours, donc il vaut la peine de demander lequel des trois vous obtenez avant d'acheter.
Quel que soit l’outil que vous utilisez, cette décision prime sur le prix. Sur certains rayons, le format n’est même pas tarifé, ce qui signifie qu’il n’y a rien à gagner à faire des compromis. Sur d’autres, les écarts de coût vont dans des directions opposées selon les catégories, alors lisez le prix du format sur le rayon où vous achetez réellement, plutôt que de transporter une hypothèse d’un endroit à l’autre.
Un format que votre outil ne peut pas lire est une incompatibilité nette avec l’annonce, et c’est corrigeable si vous le remarquez dans les délais. Une session que quelqu’un d’autre détient encore n’est corrigeable que si vous vérifiez réellement la liste des appareils. Une autorisation OAuth2 incomplète ne l’est généralement pas, car elle échoue bien après la fermeture de la fenêtre, et les codes de secours utilisés ne le sont jamais.
Avery Bennett
Consultant en médias sociaux et expert en growth hacking. Spécialisé dans la création de contenu viral et les stratégies de marketing d'influence pour les marques de toutes tailles.
