Explication plus détaillée d’OAuth pour les personnes moins techniciennes

L’analogie de la banque explique comment cela fonctionne :

• La banque et la chambre forte (votre fournisseur de messagerie) : Google, Microsoft… agissent comme la banque sécurisée détenant vos biens de valeur (e-mails, contacts, calendrier).
• Votre mot de passe d’accès complet (le couple nom d’utilisateur et mot de passe) : c’est la clé de l’ensemble de votre coffre-fort. Vous ne la montrez directement qu’à la banque lors de la vérification, jamais à des applications tierces quelconques.
• Thunderbird (le coursier) : Thunderbird est un service de messagerie que vous engagez pour livrer et récupérer votre courrier à la banque.
• Le jeton OAuth (le badge temporaire) : au lieu de remettre votre mot de passe au coursier, la banque délivre à Thunderbird un badge de visiteur plastifié et à durée limitée.

Comment fonctionne le processus

1. Demande d’accès : lorsque vous configurez une nouvelle adresse e-mail dans Thunderbird, celui-ci demande un badge à la banque.
2. Le badge plastifié : la banque vous redirige temporairement vers son site web sécurisé (le hall de la banque), où vous vérifiez votre identité avec votre mot de passe d’accès complet (par exemple, le mot de passe de votre compte Google ou Microsoft) et éventuellement une authentification à deux facteurs (A2F).
3. Privilèges restreints : une fois la vérification effectuée, la banque délivre un jeton d’accès à Thunderbird. Ce jeton n’accorde que la possibilité de lire et d’envoyer des e-mails (et éventuellement d’accéder aux contacts et aux agendas) – il ne peut être utilisé pour rien d’autre (par exemple, Google Photos ou One Drive de Microsoft), pour changer le mot de passe de votre compte ou pour vous en bloquer l’accès.
4. Révocation de l’accès : si vous ne faites plus confiance à Thunderbird ou si votre appareil est perdu, vous pouvez appeler la banque (allez dans les paramètres de votre compte Google ou Microsoft) et lui dire d’« annuler le badge ». Thunderbird perd instantanément l’accès, mais votre compte (par exemple, votre compte Google ou Microsoft) reste intact.

Ce n’est pas assez technique. Expliquez OAuth en détail !

OAuth est une norme du Web qui permet d’autoriser une application ou un service à se connecter à un autre sans divulguer d’informations privées, telles que des mots de passe. Se connecter avec Google, Apple ou Microsoft est un exemple d’utilisation d’OAuth que vous avez peut-être déjà rencontrée. De nombreux fournisseurs de messagerie comme Gmail et Outlook utilisent OAuth pour permettre à Thunderbird de se connecter à leurs services de messagerie sans partager avec Thunderbird l’intégralité des identifiants du fournisseur de messagerie.

OAuth est la méthode d’authentification par défaut pour Gmail, Outlook, Yahoo Mail et de nombreux autres fournisseurs. Le fournisseur (et non Thunderbird) ouvre le navigateur web de votre système et présente une séquence de boîtes de dialogue à l’effigie du fournisseur demandant un nom d’utilisateur et un mot de passe de compte, l’acceptation des conditions d’utilisation et l’autorisation pour les types de données du fournisseur auxquelles vous souhaitez que Thunderbird soit autorisé à accéder, telles que le courrier, les agendas et les contacts. N’importe laquelle de ces boîtes de dialogue, ou toutes, peuvent contenir des publicités. Tout ce qui est affiché dans ces boîtes de dialogue (y compris les publicités) est contrôlé par le fournisseur de messagerie, et non par Thunderbird.

Séquence des boîtes de dialogue OAuth

Des boîtes de dialogue vous sont présentées pour tout ou partie des éléments suivants dans le cadre du processus d’authentification :

1. Fournir votre nom d’utilisateur, votre adresse e-mail ou votre numéro de téléphone portable. Le nom d’utilisateur est votre adresse e-mail.
2. Fournir le mot de passe de votre compte de messagerie (n’utilisez pas votre mot de passe d’application).
3. Éventuellement, accepter les conditions d’utilisation.
4. Éventuellement, choisir une méthode pour confirmer « Est-ce vraiment vous ? » en envoyant un code de sécurité à votre téléphone ou à l’adresse e-mail de votre compte, puis saisir le code envoyé dans une boîte de dialogue de suivi.
5. Accordez à Thunderbird la permission d’accéder à tout ou partie des données suivantes : courrier, contacts, agendas.

À la fin du processus d’authentification :

• Un jeton d’accès est envoyé par votre fournisseur, qui est ensuite stocké par Thunderbird dans sa liste de mots de passe pour permettre un accès futur au serveur. Un jeton est une chaîne de caractères qui autorise l’accès à partir d’un client spécifique sur un appareil spécifique – ce n’est pas un mot de passe. Les jetons finissent par expirer à une date déterminée par votre fournisseur, ce qui vous oblige à vous authentifier à nouveau avec votre nom d’utilisateur et votre mot de passe. Si vous ne connaissez pas votre mot de passe, vous devez utiliser la page de votre compte de fournisseur dans un navigateur web pour créer un nouveau mot de passe, ce que l’on appelle souvent une réinitialisation du mot de passe.
• Thunderbird définit la configuration du compte en fonction des paramètres d’authentification que vous venez de fournir.