Catégorie : Articles

 

Vous êtes utilisateur Freebox et vous souhaitez renforcer la sécurité et la confidentialité de votre navigation internet ? Installer DNS4EU sur votre Freebox est une excellente solution. Chez Ariovis, spécialistes en cybersécurité et gestion des accès, nous vous expliquons pas à pas comment configurer votre Freebox pour utiliser les serveurs DNS4EU, une alternative européenne sécurisée et respectueuse de la vie privée.

 

Pourquoi choisir DNS4EU sur sa Freebox ?

Les serveurs DNS jouent un rôle clé dans votre navigation : ils traduisent les noms de domaine (ex. ariovis.fr) en adresses IP que votre ordinateur comprend. Par défaut, la Freebox utilise les DNS de Free, mais ceux-ci ne garantissent pas toujours une confidentialité optimale.

DNS4EU est un service DNS européen soutenu par la Commission européenne, conçu pour :

• Protéger vos données personnelles,
• Assurer une navigation sécurisée,
• Offrir des performances fiables grâce à une infrastructure européenne.

Changer les DNS de votre Freebox pour DNS4EU est donc un moyen simple d’améliorer votre cybersécurité au quotidien.

 

Installer DNS4EU sur votre Freebox : étapes détaillées

Voici la méthode recommandée par nos experts Ariovis pour configurer DNS4EU sur votre Freebox, en quelques minutes.

1. Connectez-vous à l’interface de gestion Freebox

Pour commencer, assurez-vous d’être connecté à votre réseau Freebox. Ouvrez un navigateur et rendez-vous à l’adresse :

http://mafreebox.freebox.fr

Identifiez-vous avec votre mot de passe Freebox. Si vous ne l’avez jamais changé, il est indiqué sur votre Freebox Révolution (écran tactile) ou sur votre contrat.

2. Accédez aux paramètres réseau et DNS

Une fois connecté :

• Cliquez sur Paramètres de la Freebox,
• Puis ouvrez la section Gestion des ports et réseau local ou directement DHCP selon votre version,
• Recherchez la configuration des serveurs DNS.

3. Configurez les serveurs DNS4EU sur votre Freebox

Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre Freebox :

 

• 86.54.11.1 (DNS4EU primaire – IPv4)

 

• 86.54.11.201 (DNS4EU secondaire – IPv4)

 

• 2a13:1001::86:54:11:1 (DNS4EU primaire – IPv6)

 

• 2a13:1001::86:54:11:201​ (DNS4EU secondaire – IPv6)

Mode d’emploi :

1. Dans l’interface Freebox, rendez-vous dans Paramètres avancés > Réseau.
2. Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
3. Enregistrez les modifications, puis redémarrez votre Freebox et vos appareils pour appliquer les nouveaux réglages.

Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (Freebox 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.

4. Sauvegardez et redémarrez

Enregistrez vos modifications. Pour que les changements soient bien pris en compte, redémarrez votre Freebox ainsi que vos appareils connectés (ordinateurs, smartphones, etc.).

 

Vérification et test de la configuration DNS4EU

Pour vérifier que la Freebox utilise bien DNS4EU, vous pouvez effectuer un test simple :

• Sur Windows, ouvrez l’invite de commande et tapez : https://ariovis.fr
• Sur macOS ou Linux, ouvrez un terminal et tapez : https://ariovis.fr

Si le serveur DNS affiché correspond à l’une des adresses DNS4EU (51.81.216.60 ou 51.81.216.70), la configuration est réussie.

 

Ariovis, votre partenaire cybersécurité pour une navigation plus sûre

Changer vos serveurs DNS est une première étape importante pour renforcer la sécurité de votre réseau domestique. Chez Ariovis, nous accompagnons les particuliers et les entreprises dans leurs projets de cybersécurité, notamment dans la gestion des accès (IAM) et la sécurisation des infrastructures réseau.

Pour aller plus loin dans la protection de votre environnement numérique, n’hésitez pas à nous contacter ou visiter notre site ariovis.fr pour découvrir nos solutions et conseils.

 

Conclusion

Installer DNS4EU sur votre Freebox est une démarche simple et efficace pour améliorer la confidentialité et la sécurité de votre navigation. Suivez notre guide Ariovis pour une installation réussie, et profitez d’un internet plus sûr grâce à un service DNS européen.

Si vous souhaitez en savoir plus sur la cybersécurité ou recevoir des conseils personnalisés, Ariovis est là pour vous accompagner.

Vous êtes client Orange et souhaitez renforcer la sécurité et la confidentialité de votre connexion internet ? Installer DNS4EU sur votre Livebox est une démarche simple et efficace pour protéger votre navigation. Chez Ariovis, experts en cybersécurité et gestion des accès (IAM), nous vous expliquons comment configurer DNS4EU sur votre Livebox.

 

Pourquoi configurer DNS4EU sur votre Livebox ?

Le serveur DNS est un élément fondamental qui traduit les noms de domaine en adresses IP. Par défaut, la Livebox utilise les serveurs DNS d’Orange, qui ne garantissent pas toujours une confidentialité optimale.

DNS4EU, un service DNS européen soutenu par la Commission européenne, offre :

• Une meilleure protection des données personnelles,
• Une navigation sécurisée,
• Une infrastructure DNS européenne fiable et performante.

Configurer DNS4EU sur votre Livebox vous permet de naviguer en toute sécurité avec un service DNS respectueux de la vie privée.

 

Comment installer DNS4EU sur votre Livebox ?

Voici les étapes recommandées par les experts Ariovis pour configurer DNS4EU sur votre Livebox.

1. Accédez à l’interface de gestion Livebox

• Connectez-vous à votre réseau Livebox (Wi-Fi ou Ethernet).
• Ouvrez un navigateur et rendez-vous à l’adresse :

http://192.168.1.1

• Connectez-vous avec vos identifiants (le mot de passe par défaut se trouve sur l’étiquette de votre Livebox).

2. Accédez aux paramètres DNS

• Dans le menu principal, cliquez sur Paramètres avancés,
• Puis rendez-vous dans la section Réseau ou Configuration DNS.

3. Configurez les serveurs DNS4EU sur votre Livebox

Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre Livebox :

• 86.54.11.1 (DNS4EU primaire – IPv4)
• 86.54.11.201 (DNS4EU secondaire – IPv4)
• 2a13:1001::86:54:11:1 (DNS4EU primaire – IPv6)
• 2a13:1001::86:54:11:201​ (DNS4EU secondaire – IPv6)

Mode d’emploi :

1. Dans l’interface Livebox, rendez-vous dans Paramètres avancés > Réseau.
2. Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
3. Enregistrez les modifications, puis redémarrez votre Livebox et vos appareils pour appliquer les nouveaux réglages.

Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (Livebox 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.

4. Enregistrez et redémarrez

• Enregistrez les modifications,
• Redémarrez votre Livebox ainsi que vos appareils connectés pour appliquer les nouveaux paramètres DNS.

 

Vérifier que DNS4EU est actif sur votre Livebox

Pour vérifier que DNS4EU est bien utilisé :

• Sur Windows, ouvrez l’invite de commande et tapez : https://ariovis.fr
• Sur macOS ou Linux, dans le terminal, tapez : https://ariovis.fr

La réponse doit indiquer un serveur DNS correspondant à DNS4EU (51.81.216.60 ou 51.81.216.70).

 

Ariovis, votre expert en cybersécurité et gestion des accès

Configurer DNS4EU est une première étape pour sécuriser votre réseau domestique. Chez Ariovis, nous accompagnons particuliers et entreprises dans leurs projets de cybersécurité et gestion des accès (IAM).

Pour un accompagnement personnalisé, contactez-nous ou consultez notre site ariovis.fr.

 

Conclusion

Installer DNS4EU sur votre Livebox est un moyen simple et efficace pour renforcer la confidentialité et la sécurité de votre navigation internet. Suivez ce guide Ariovis pour une installation facile et profitez d’un DNS européen qui protège vos données.

OpenID Connect est une couche d’identité construite par-dessus le protocole OAuth 2.0. Elle permet aux applications de vérifier l’identité des utilisateurs en se basant sur une authentification effectuée par un fournisseur externe. Cela est particulièrement utile lorsqu’on souhaite sécuriser des applications sans avoir à gérer soi-même les identifiants des utilisateurs. Keycloak est une solution open source de gestion des identités et des accès (IAM) qui facilite la mise en place d’un fournisseur OpenID Connect robuste.

Dans cet article, nous allons expliquer comment connecter votre propre application Python Flask à n’importe quel fournisseur OpenID Connect, ainsi que comment configurer le vôtre avec Keycloak. Vous allez configurer un serveur Keycloak, enregistrer un client OIDC, et construire une application Flask simple qui authentifie les utilisateurs via Keycloak en utilisant des protocoles standards de l’industrie.

À la fin de ce guide, vous aurez :

• Une instance fonctionnelle de Keycloak exécutée dans Docker
• Une application Flask sécurisée avec OpenID Connect
• Un flux complet de connexion et de déconnexion
• Une architecture de projet Flask structurée et évolutive

Cette configuration est idéale pour les développeurs souhaitant ajouter une authentification à leurs applications web Python en s’appuyant sur des standards modernes de gestion d’identité.

 

Pré-requis

Avant de commencer, voici les prérequis de base pour utiliser ce guide :

• Python 3.11 ou supérieur (télécharger)
• Docker avec docker-compose (télécharger)

Avec ces deux outils en main, nous pouvons démarrer notre projet en toute sérénité.

 

Comprendre ce qu’est OpenID Connect

Si vous êtes déjà familier avec OpenID Connect, vous pouvez passer cette section. Si ce n’est pas le cas, ou si vous souhaitez un rappel du concept, cette partie vous offrira un aperçu rapide de son fonctionnement, de son utilité, et du rôle qu’il joue dans la sécurisation de votre application.

OpenID Connect est donc construit sur le protocole ouvert OAuth2. C’est une norme web mondialement adoptée et utilisée par des acteurs technologiques majeurs tels que Google, Microsoft et Apple. Elle permet la vérification de l’identité des utilisateurs en s’appuyant sur les services d’identité et d’authentification d’un fournisseur externe.

Cette approche élimine le besoin d’une base de données d’utilisateurs dédiée, simplifiant la manière dont vous implémentez l’authentification et l’autorisation dans vos applications.

Entièrement interopérable, OpenID Connect fonctionne via une interface HTTP RESTful avec un formatage JSON. Il y a de fortes chances que vous utilisiez déjà cette norme quotidiennement : chaque fois que vous cliquez sur un bouton « Se connecter avec Google » au lieu de saisir des identifiants distincts, vous utilisez OpenID Connect.

Maintenant, si vous n’êtes pas non plus familier avec le protocole OAuth2, voici le flux d’informations détaillé qui se produit lorsque vous utilisez OpenID Connect.

 

Lorsque vous vous connectez à un service via OpenID Connect, la première étape vous redirige vers le fournisseur d’identité (par exemple, Google, Microsoft, Apple) pour que vous puissiez vous authentifier avec votre compte. Une fois votre identité vérifiée, ce fournisseur vous fournit en retour un code d’autorisation. Votre service utilise ensuite ce code pour l’échanger contre un jeton d’identité (ID Token) auprès du fournisseur. Ce jeton représente votre identité vérifiée.

Désormais, chaque fois que le service a besoin d’informations sur votre profil, il interroge le fournisseur d’identité en utilisant ce jeton. Le fournisseur renvoie alors les informations nécessaires, et le service vous donne accès aux ressources appropriées en fonction de votre identité.

Ce processus est connu sous le nom de flux de code d’autorisation (Authorization Code Flow) d’OpenID Connect. Grâce à cette conception, le jeton d’identité n’est jamais directement exposé côté client (le « frontend »), ce qui réduit considérablement les risques d’attaques et de vols d’identité.

 

Qu’est ce que Keycloak ?

​Keycloak est une solution de gestion des identités et des accès entièrement open-source qui offre un support tout-en-un pour l’authentification et l’autorisation. Conçu pour la flexibilité, il permet aux développeurs de sécuriser leurs applications avec un effort minimal, en proposant des fonctionnalités prêtes à l’emploi comme le single sign-on (SSO), la connexion via les réseaux sociaux et la gestion des utilisateurs.

Toutes les configurations se feront via cette console d’administration, donc aucune compétence spécialisée n’est requise pour l’utiliser.

 

Configurez Keycloak

La première étape de ce guide est la configuration de Keycloak. Pour cela, nous utiliserons Docker car cela facilite l’étape d’installation.

Pour fonctionner, Keycloak a besoin de stocker ses données dans une base de données. Pour cet article, nous utiliserons Postgres, mais vous pouvez utiliser n’importe quelle base de données de la liste suivante :

Pour orchestrer toute la configuration, nous utiliserons le fichier docker-compose.yaml suivant :

 

Ce fichier est la configuration de votre environnement Keycloak et Postgres. Assurez-vous de modifier les paramètres d’utilisateur et de mot de passe selon vos préférences.

Exécutez la commande suivante pour lancer une instance basique de Keycloak sur votre machine :

docker-compose up

Une fois que le conteneur est entièrement démarré, vous pouvez accéder à la console d’administration à l’adresse suivante : http://localhost:8080. Vous pouvez vous connecter à la console d’administration et devriez arriver sur cette page :

Depuis cette console, vous pouvez administrer toutes vos connexions, vos utilisateurs, vos clients, et bien plus encore…

Nous allons d’abord créer un « realm » pour notre application. Pour cela, vous pouvez cliquer sur la liste des realms en haut à gauche. Comme nous n’avons pas de configuration existante, nous allons simplement en créer un vide. Pour cet article, je le nommerai demo-openid-connect.

Dans Keycloak, un « realm » est comme un conteneur qui regroupe tous les utilisateurs, applications et paramètres pour un projet ou un environnement spécifique.

L’étape suivante consiste à configurer un client OpenID que Python utilisera pour se connecter à Keycloak. Dans votre nouveau « realm » créé, allez dans « Clients » et créez-en un nouveau.

Vous devrez configurer les paramètres suivants :

• Type de client : OpenID Connect Vous avez le choix entre SAML et OpenID Connect ; dans cet article, nous nous concentrerons sur OpenID Connect.
• ID client : 7f3c2e10-8c1a-4c71-89f2-f0bb72e536f4 C’est l’ID de votre client, il sera nécessaire plus tard pour s’y connecter. Vous pouvez choisir n’importe quoi ; pour cet exemple, j’ai choisi un UUID aléatoire.
• Nom : open-id-client Le nom de votre client. Il sert uniquement à identifier votre client sur Keycloak, vous pouvez choisir n’importe quoi.
• Authentification client : activer (basculer sur true) Permet d’autoriser le flux OpenID sur ce client.
• URL racine : http://localhost:8081 L’URL racine de votre application. Pour cet exemple, nous utiliserons une instance locale sur le port 8081.
• URL de la page d’accueil : / La page d’accueil de l’application. Puisque notre application sera à l’URL racine, nous mettrons simplement /. Si vous souhaitez l’exécuter sous un chemin spécifique, vous pouvez le modifier.
• URL de redirection valides : * Pour cet exemple, nous autoriserons n’importe quelle URL de notre domaine à servir de redirection depuis notre client. En production, vous devriez la remplacer par une URL plus spécifique pour restreindre votre client à votre seule application.

Enfin, vous devrez configurer un secret pour votre client. Pour cela, allez dans l’onglet « Credentials » (Identifiants) et copiez-le. Il devrait ressembler à ceci : 961jZtg26dDrLcUacShPyYRvUEAhQEA4.

Ce secret est la preuve que votre application utilisera pour s’authentifier auprès de Keycloak. Vous devez faire attention à ne pas le partager et à le sauvegarder dans un endroit inaccessible, comme un gestionnaire de secrets ou un fichier d’environnement.

Vous pouvez aussi configurer des rôles personnalisés pour votre application si vous en avez besoin :

Passage à Python

Notre Keycloak est maintenant prêt à être utilisé par notre application Python. Nous allons maintenant construire notre application Python. Pour cela, nous utiliserons Flask, mais sachez que vous pouvez utiliser n’importe quel autre serveur HTTP.

 

Qu’est-ce que Flask ?

Flask est un framework web minimaliste écrit en Python. Il vous permet de lancer rapidement un serveur web et d’exposer des points d’accès (endpoints) pour votre application. Il est léger, simple à utiliser et bien adapté à la création d’API REST ou de petits services web.

Voici un exemple basique d’une application Flask :

Dans cet exemple, nous lançons un serveur web et créons un point d’accès (endpoint) sur le chemin /. Pour exécuter cette application, il suffit de l’enregistrer dans un fichier (par exemple, app.py) et de l’exécuter avec Python :

• python -m pip install Flask
• python app.py

Vous pouvez maintenant vous rendre sur votre navigateur web à l’adresse http://localhost/. Vous devriez y voir le texte « Hello, world! ».

C’est tout ! Vous avez construit un petit serveur web. Nous pouvons maintenant commencer à créer notre application.

La puissance de Flask réside dans sa capacité à rendre des templates HTML et à y injecter vos propres données. Nous allons légèrement modifier notre script pour faire un exemple basique, mais d’abord, nous devrons organiser un peu notre projet.

Si vous avez suivi toutes les étapes, vous devriez avoir quelque chose comme ceci :

La structure recommandée que nous utiliserons pour un projet Flask est la suivante :

Description :

• App : Ce dossier est la racine de votre projet. Tout ce qui est lié à Flask y sera placé.
• __init__.py : Cette convention de nom de fichier de Python nous permet d’utiliser les chemins de dossiers directement comme chemins pour les fichiers Python qu’ils contiennent, comme cela fonctionnerait avec index.html sur le web. Celui qui se trouve à la racine contiendra la configuration de votre application Flask.
• routes.py : Ce fichier contiendra tous les points d’accès (endpoints) du dossier et implémentera la logique associée. Dans des projets plus importants, vous pourriez placer la logique dans un fichier services.py dédié.
• config.py : Ce fichier contiendra la configuration de votre application Flask et importera vos variables d’environnement.
• Extensions : Ce dossier contiendra tous les scripts Python dont vous avez besoin dans votre application et qui ne sont pas directement liés à Flask, comme une connexion à une base de données par exemple.
• Main : Ce dossier contient tous les points d’accès principaux de notre application.
• Templates : Ce dossier contient tous les fichiers HTML qui seront utilisés par Flask et nécessiteront une injection de données.
• Static : Ce dossier contient toutes les données statiques de notre projet, telles que les images, les feuilles de style CSS, les scripts, et plus encore.

Pour exécuter notre application, nous allons maintenant utiliser la commande suivante :

flask –app app run –debug –port=8081

Le contenu de chaque fichier ressemblera à ceci :

app/__init__.py

config.py

app/main/__init__.py

app/main/routes.py

app/template/index.html

app/base/base.html

Il y a beaucoup de nouveaux concepts ici :

Premièrement, les Blueprints. Dans Flask, vous pouvez créer des Blueprints pour regrouper vos points d’accès (endpoints). Chaque dossier contenant des routes représentera un Blueprint dans notre projet. Pour l’instant, nous n’avons besoin que du Blueprint principal.

Deuxièmement, les Templates. Comme mentionné précédemment, vous pouvez utiliser des templates dans Flask, créés à partir de HTML et de Jinja2. Pour en savoir plus, vous pouvez consulter la documentation de Flask. Dans ce projet, nous avons deux fichiers HTML :

• base.html : Il contiendra tout ce que nous voulons partager entre nos pages, comme l’importation de Tailwind dans notre cas.
• index.html : Il contiendra le contenu de la page d’accueil de notre application.

Pour lancer votre application nouvellement créée, vous pouvez utiliser la commande suivante :

• flask —app app run —debug

Vous pouvez voir le résultat de votre application à l’adresse http://localhost:8081/.

Cliquez sur l’image pour l’agrandir

Maintenant que vous êtes familiarisé avec Flask et l’organisation de projet, nous allons commencer à développer le connecteur OIDC pour Keycloak !

 

Implémenter OIDC avec Flask

Nous allons maintenant implémenter OpenID Connect dans notre application. Pour cela, nous utiliserons la bibliothèque Python oic.

Tout d’abord, nous allons placer nos variables d’environnement dans notre configuration. Pour cela, vous devrez ajouter ce qui suit à votre fichier config.py.

.env

Remplacez les variables appropriées par vos propres données. AUTHORITY représente l’URL de base de votre serveur Keycloak OpenID. REDIRECT_URI représente le point d’accès que nous utiliserons à l’avenir pour notre flux OpenID Connect.

 

La classe d’identité

Pour réutiliser facilement notre script d’identité qui gérera la logique OpenID, nous allons créer une classe statique.

Voici la base de notre classe :

app/extentions/identity.py

Cette classe définit un client OpenID et le configure avec notre environnement. Les méthodes provider_config et store_registration_info fourniront les informations nécessaires à notre client pour récupérer toutes les données dont il a besoin afin de connaître les URL des points d’accès de notre Keycloak.

Nous allons maintenant implémenter chaque étape du flux OIDC :

 

1. Obtenir l’URL de connexion

Pour se connecter, l’utilisateur devra construire une URL contenant toutes les informations sur la requête de connexion. Cette URL est spécifique à chaque connexion et doit fournir à Keycloak :

• L’URL de redirection de la requête
• La méthode d’authentification et le type de réponse
• Les scopes auxquels l’utilisateur souhaite accéder
• Un état (state) et un nonce, deux chaînes aléatoires pour identifier la requête

Pour cela, nous utiliserons la puissance de la bibliothèque oic, ce qui rendra cette tâche beaucoup plus rapide.

app/extensions/identity.py

2. Obtenir le jeton d’authentification

L’étape suivante du flux OpenID Connect consiste à récupérer le jeton de l’utilisateur auprès du fournisseur. Pour cela, nous allons une fois de plus utiliser la bibliothèque oic. Cette fois, nous n’avons qu’à envoyer les informations suivantes au fournisseur :

• Le code fourni par l’utilisateur, preuve de son authentification auprès du fournisseur.
• L’URL de redirection depuis laquelle le serveur a récupéré le code.

app/extensions/identity.py

Dans cette fonction, nous allons faire une requête au fournisseur avec toutes les informations fournies par notre client. Nous devons créer le Grant et l’ajouter nous-mêmes au client pour que la requête soit réussie. Ce jeton récupéré sera la preuve d’identité de notre utilisateur.

Nous avons maintenant tout ce dont nous avons besoin pour commencer à implémenter nos points d’accès (endpoints) et tester notre OIDC.

 

3. Tester le flux d’authentification

Pour cela, nous allons créer des routes dédiées dans un nouveau dossier avec les deux fichiers suivants :

app/auth/__init__.py

app/auth/routes.py

Dans ce code, nous définissons deux points d’accès (endpoints) qui seront utilisés par nos clients pour suivre le flux d’identification. Le premier redirigera notre client vers le fournisseur avec les informations appropriées. Le second récupérera le jeton depuis le rappel (callback) du fournisseur.

Juste avant de tester notre programme, nous avons besoin de deux petites mises à jour de notre application :

• Premièrement, nous devons ajouter notre nouveau Blueprint à notre application.

app/__init__.py

Ensuite, nous devons ajouter des paramètres à notre configuration pour utiliser les sessions Flask.

config.py

Vous devrez également installer Flask-Session comme dépendance. Vous pouvez utiliser la commande suivante :

pip install Flask-Session

En vous rendant sur http://localhost:8081/auth/login, vous devriez être redirigé vers votre Keycloak et voir ceci :

Pour finaliser notre test, nous devrons ajouter un utilisateur dans la console Keycloak. Allez dans l’onglet « Utilisateurs » et ajoutez-en un :

Vous devrez également définir un mot de passe depuis l’interface. Pour cela, allez dans l’onglet « Credentials »(Identifiants). Retournez ensuite à votre application et connectez-vous avec votre utilisateur. Si tout s’est bien passé, vous devriez être redirigé vers votre page d’accueil.

Si vous tentez de saisir des informations différentes de celles précédemment utilisées, vous remarquerez que rien ne change. Le flux de connexion a fonctionné, mais nous n’accédons pas encore aux informations de l’utilisateur. Ce sera la dernière étape de notre guide. Si vous êtes curieux, vous pouvez ouvrir la console de développement de votre navigateur et constater qu’un cookie de session a été créé par notre flux d’authentification. Pour des raisons de sécurité, nous avons choisi de masquer le véritable jeton d’accès au client et de ne lui donner qu’une référence aux données. Cela permet d’éviter les attaques telles que le vol de jetons via une vulnérabilité XSS dans votre application.

 

4. Obtenir les informations de l’utilisateur

Tout ce dont nous avons besoin maintenant est de pouvoir récupérer les informations de notre utilisateur lorsqu’il est connecté à notre application. Pour cela, nous pouvons appeler le point d’accès des informations utilisateur de notre fournisseur avec la méthode do_user_info_request de notre client oic. Le code ressemblera à ceci :

app/extensions/identity.py

Pour utiliser cette méthode, nous devons fournir le jeton à la requête. Pour cela, nous avons choisi d’utiliser une propriété qui tentera d’obtenir l’access_token à partir de la session. Puisque nous utilisons cette classe uniquement avec des méthodes statiques, nous devrons définir une propriété statique.

app/extensions/identity.py

À chaque fois que nous accédons à notre access_token, le script tentera de récupérer le jeton de la session ou ne retournera rien.

Nous pouvons maintenant mettre à jour notre page d’accueil pour afficher les informations de notre utilisateur :

app/main/routes.py

app/templates/index.html

Et voilà ! L’application affiche enfin correctement les informations de notre utilisateur. 🥳

Pour aller plus loin

Bien que nous ayons terminé notre flux d’authentification, vous souhaiterez peut-être ajouter des fonctionnalités supplémentaires telles que la déconnexion ou la protection des points d’accès (endpoints) par authentification.

Pour cela, nous ajouterons ce qui suit à notre classe Identity :

app/extenstions/identity.py

Ce code utilisera la bibliothèque oic pour terminer la session sur Keycloak et videra la session côté client. Vous pouvez maintenant appeler cette fonction dans votre code ou créer un point d’accès (endpoint) dédié comme ceci :

app/auth/routes.py

Pour la deuxième partie, la meilleure façon de sécuriser facilement n’importe quel point d’accès (endpoint) est d’écrire un décorateur qui effectuera toutes les vérifications pour vous :

app/extensions/identity.py

Il vous suffira d’apposer ce décorateur sur n’importe quelle route que vous souhaitez protéger, et elle sera inaccessible au client s’il ne s’est pas connecté au préalable. Il ajoutera également les informations de l’utilisateur comme paramètre optionnel à votre fonction lors de l’appel. De cette façon, vous pourrez récupérer directement les informations de l’utilisateur sans avoir à appeler vous-même la fonction get_user_info. Exemple :

app/auth/routes.py

Si vous souhaitez en savoir plus sur les décorateurs et comment les utiliser, vous pouvez consulter le tutoriel suivant : https://realpython.com/primer-on-python-decorators/.

En suivant ce tutoriel, vous avez réussi à configurer Keycloak comme fournisseur OpenID Connect et à l’intégrer à une application Python Flask. Vous avez créé un flux d’authentification sécurisé, récupéré les informations de l’utilisateur et ajouté une fonctionnalité de déconnexion. Vous avez également appris à structurer une application Flask pour l’évolutivité et la maintenabilité.

Pour les environnements de production, n’oubliez pas de :

• Sécuriser correctement les secrets et les sessions
• Activer HTTPS
• Utiliser une validation stricte des URI de redirection
• Implémenter la gestion de l’expiration et du rafraîchissement des jetons

Avec ces bases en place, vous êtes prêt à étendre votre application avec des API protégées, un contrôle d’accès basé sur les rôles, et bien plus encore. 🚀

🔗 lien vers le code de l’article

Chez Ariovis, nous croyons que le succès d’un consultant ne repose pas uniquement sur sa maîtrise technique. Il naît à l’intersection de trois dimensions clés : l’excellence technique, la pertinence économique, et l’expérience client. C’est ce que nous appelons le sweet spot – ce point d’équilibre où l’on livre le bon niveau d’expertise, au bon prix, avec le bon ressenti. C’est aussi comme cela que nous manageons et faisons grandir nos équipes.
​ 

Un consultant Ariovis ne cherche pas à être le meilleur partout

Dans un monde où la complexité technique ne cesse d’augmenter, une tentation fréquente est de vouloir tout maîtriser. Mais être expert en tout, c’est souvent n’être expert en rien. À l’inverse, nous encourageons nos consultants à se concentrer sur ce qu’ils font le mieux — tout en comprenant les enjeux autour. Cette spécialisation maîtrisée est ce qui nous permet de rester lisibles, pertinents, et réellement efficaces.

« Security meets business » : plus qu’un slogan, une méthode

Notre credo ne se limite pas à une punchline. Il traduit une conviction profonde: la cybersécurité ne doit pas ralentir l’entreprise, elle doit l’accompagner. C’est pourquoi nous attendons de nos consultants qu’ils sortent d’une posture purement technique. Qu’ils comprennent les enjeux métier. Qu’ils sachent quand dire non — mais aussi comment proposer un oui mieux formulé.

Un consultant Ariovis est avant tout un business partner, pas un simple exécutant. Il ou elle sait que la vraie valeur ajoutée ne se mesure pas uniquement en lignes de code, mais dans l’impact réel des recommandations.

La question qui change tout : « Pourquoi ? »

Nous encourageons tous nos consultants à appliquer ce principe simple :

• Cherchez toujours à comprendre le « pourquoi » derrière le « comment ».

Pourquoi sécuriser cet accès ? Pourquoi intégrer cet outil maintenant ? Pourquoi ce choix est-il important pour ce client-là ?

C’est en posant ces questions que naît une posture de conseil mature, une posture d’acteur. C’est aussi comme cela que l’on construit un impact durable, loin de l’approche « tâche technique isolée ».

Suivi, évaluation et accompagnement : un management centré sur l’équilibre

Chaque collaborateur chez Ariovis est évalué selon sa capacité à trouver son propre sweet spot :

• Sait-il livrer des solutions efficaces sans complexifier ?

• Sait-elle adapter ses recommandations au contexte client ?

• Est-il capable d’expliquer simplement une idée technique complexe ?

• Va-t-elle au-delà de sa fiche de poste pour faire avancer le projet ?

• Est-ce que le client comprend la valeur qu’il apporte ou est-il un simple exécutant ?

Ce ne sont pas des cases à cocher, mais des leviers de progression. Le sweet spot est une boussole, pas une grille rigide. Il guide nos entretiens, nos feedbacks, et même nos recrutements.

En conclusion : l’impact, pas la démonstration

Chez Ariovis, nous ne valorisons pas la démonstration de savoir pour elle-même. Ce qui compte, c’est le résultat pour le client, la simplicité d’usage, et la confiance construite. C’est cela, pour nous, le vrai professionnalisme.
 

Et vous, où est votre sweet spot ? Découvrez le avec Ariovis, rejoignez-nous: http://spontannee.ariovis.fr
 

  

Réconcilier performance opérationnelle et gouvernance des accès

La gestion des autorisations reste un défi majeur pour de nombreuses organisations en 2025. Complexe, technique, source fréquente de malentendus entre équipes techniques et métiers – elle freine souvent l’agilité des entreprises.

Pourtant, les politiques d’accès sont au cœur de chaque application depuis toujours. Ce qui change aujourd’hui ? L’IA générative bouleverse cet équilibre en créant un pont entre le langage métier et l’expertise technique.

 

L’IA générative : le catalyseur des équipes IAM

En 2025, l’IA générative révèle des perspectives de transformations inédites pour de nombreux secteurs. Dans le domaine de l’IAM, elle agit comme un puissant catalyseur qui démultiplie la portée des experts et libère leur potentiel stratégique.

Fini les journées consumées par des tâches de traduction et d’implémentation technique ! Les équipes IAM peuvent désormais se concentrer sur ce qui fait réellement la différence : l’élaboration de stratégies de sécurité innovantes, la gouvernance des identités et l’alignement avec les objectifs business.

Pour les organisations qui cherchent à gagner en agilité sans sacrifier la sécurité, cette évolution représente une opportunité sans précédent de transformer la gestion des accès en avantage compétitif.

 

Du langage métier au code sécurisé : combler enfin le fossé

Après plus d’un an de déploiement de solutions d’IA pour l’autorisation, nous avons identifié leur principal atout : elles créent des ponts entre des besoins métiers exprimés en langage courant et une implémentation technique sur mesure.

Cette avancée résout l’un des défis historiques de la cybersécurité : la communication entre les différents acteurs. D’un côté, les équipes métiers expriment des besoins fonctionnels ; de l’autre, les experts IAM les traduisent en politiques opérationnelles.

Cette collaboration augmentée valorise l’expertise IAM sur ses dimensions stratégiques:

• Conception de politiques d’accès alignées avec la stratégie globale de sécurité
• Conformité avec les exigences réglementaires et contractuelles
• Optimisation des performances et de la sécurité des implémentations
• Gouvernance unifiée des politiques d’accès

 

L’IA et le contrôle d’accès : une synergie homme-machine

Pour comprendre l’intérêt de cette approche combinée, prenons un exemple concret :

Imaginons qu’au sein d’une application de gestion de carrière, les droits d’accès doivent être adaptés en fonction des rôles et des relations hiérarchiques. Un manager doit pouvoir superviser les objectifs de ses subordonnés, tandis que chaque collaborateur doit avoir des droits limités sur ses propres données.

Sans IA, cette demande nécessiterait :

1. Une interprétation détaillée par les équipes IAM
2. Des sources de données techniques nombreuses et complexes
3. Une implémentation par les développeurs
4. Des tests de validation
5. Des ajustements successifs en cas d’incompréhension

 

Mise en place de politiques d’accès sans IA

 

 

Avec les outils d’IA assistés par des experts IAM, cette même règle est d’abord traduite automatiquement en politique d’accès technique, puis vérifiée et affinée par les spécialistes avant déploiement. L’IA accélère le processus et réduit le nombre d’aller-retour entre équipes, mais l’expertise humaine garantit sa pertinence et sa sécurité.

 

Mise en place de politiques d’accès avec IA

 

​​Les bénéfices concrets de cette collaboration homme-machine 

Depuis que nous accompagnons nos clients dans cette transformation, nous constatons des bénéfices tangibles pour les équipes IAM et métiers :

• Valorisation de l’expertise IAM : les spécialistes peuvent se concentrer sur les tâches à forte valeur ajoutée plutôt que sur des traductions techniques répétitives
• Communication facilitée : réduction des incompréhensions entre équipes métiers et techniques
• Qualité améliorée des politiques : les règles sont plus précises et mieux alignées aux besoins réels, tout en restant sécurisées
• Documentation enrichie : les choix de sécurité sont naturellement documentés, facilitant audits et contrôles
• Adaptabilité accrue : les modifications de politiques peuvent être proposées, validées et implémentées plus rapidement

Mais le bénéfice le plus important est sans aucun doute la réconciliation entre les impératifs de sécurité et les besoins métiers. L’IA, sous la supervision des experts IAM, permet à la sécurité de devenir un facilitateur plutôt qu’une contrainte, et in fine d’améliorer l’efficacité opérationnelle des différentes équipes.

Policy Companion : un flux de travail repensé en 5 étapes

​​Le marché offre aujourd’hui plusieurs solutions qui intègrent l’IA générative pour assister la gestion des politiques d’accès. Des acteurs comme Axiomatics avec Policy Companion ont adopté ces technologies pour compléter – et non remplacer – l’expertise humaine. ​

Chez Ariovis, nous avons développé une approche équilibrée pour accompagner nos clients dans la sélection et l’intégration de ces outils dans leur écosystème existant, tout en formant leurs équipes IAM à tirer le meilleur parti de ces technologies tout en gardant le contrôle.

 

Comment fonctionne cette synergie en pratique ?

1. Phase d’expression des besoins : Les équipes métiers formulent leurs besoins d’accès en langage naturel
2. Première traduction par l’IA : L’outil génère une version technique de ces politiques
3. Validation et optimisation par les experts IAM : Les spécialistes vérifient, corrigent et optimisent les politiques générées
4. Retour aux métiers pour confirmation : L’IA traduit en retour la version technique en langage accessible
5. Déploiement sécurisé : Après validation finale, les experts IAM déploient les politiques dans l’environnement

​Cette approche associe le meilleur des deux mondes : l’efficacité et la rapidité de l’IA avec la rigueur et l’expertise des professionnels IAM.

 

 

​

Répondre au défi de l’« Hidden IAM »

 

Cette approche collaborative répond également au problème croissant de l’« Hidden IAM » que nous avons exploré dans un

précédent article

. Lorsque les autorisations sont codées en dur dans les applications, elles échappent à la gouvernance centralisée.

 

L’utilisation de l’IA sous supervision des experts IAM permet de:

• Standardiser plus facilement les politiques d’accès à travers l’organisation
• Faciliter l’adoption de solutions centralisées d’autorisation
• Limiter le développement d’autorisations fragmentées et difficiles à auditer

 

Notre vision pour l’avenir

Chez Ariovis, nous sommes convaincus que l’IA générative, correctement encadrée par des experts IAM, va continuer à transformer positivement la gestion des identités et des accès dans les années à venir. Notre approche « Security Meets Business » trouve dans cette collaboration homme-machine un équilibre idéal.

En facilitant les interactions entre les équipes métiers et les spécialistes de la sécurité, nous transformons la cybersécurité : d’une contrainte technique souvent mal comprise, elle devient un levier stratégique accessible et compréhensible à tous les échelons de l’entreprise, tout en restant sous le contrôle d’experts qui garantissent sa rigueur.

 

Envie d’aller plus loin ?

 

Découvrez comment intégrer intelligemment l’IA générative dans votre stratégie de gestion des accès, sous la supervision de vos experts IAM, et prenez une longueur d’avance.

Demander une démonstration 

Suivez-nous sur LinkedIn

pour toutes nos actualités
et n’hésitez pas à jeter un coup d’oeil à notre
site web !

 

​

Chez Ariovis, nous pensons que la sécurité doit être un levier de valeur, pas un frein.

Face aux vulnérabilités matérielles, le modèle de sécurité traditionnel montre ses limites. C’est dans cette optique que nous abordons dans cette article une faille fondamentale trop longtemps négligée : Spectre, qui figure parmi ces vulnérabilités matérielles critiques et qui continue d’affecter nos processeurs, nécessitant une refonte profonde de nos approches de protection. Le modèle Zero Trust, tout en s’alignant avec notre philosophie « Security meets Business », offre une réponse pertinente à ces menaces émergentes trop souvent reléguées au second plan.

Si la sécurité logicielle est souvent mise en avant dans les stratégies de cybersécurité, la sécurité matérielle demeure parfois le parent pauvre de nos défenses. Pourtant, comme nous allons le voir, l’approche Zero Trust peut représenter un rempart efficace, même face aux vulnérabilités les plus profondément ancrées dans nos infrastructures.

 

En quoi consiste la vulnérabilité Spectre ?

Dans le monde de la cybersécurité, certaines vulnérabilités marquent un avant et un après. Spectre, découverte en 2018, fait partie de celles-ci. Contrairement aux failles logicielles traditionnelles, Spectre exploite une caractéristique architecturale présente dans la quasi-totalité des processeurs modernes : l’exécution spéculative.

Pour comprendre Spectre, imaginez que votre processeur, pour gagner du temps, anticipe et exécute des instructions avant même de savoir si elles seront nécessaires. Si cette prédiction s’avère incorrecte, le processeur annule le résultat, mais conserve des traces de ces opérations dans ses caches. Spectre permet à un attaquant d’exploiter ces traces pour récupérer des informations sensibles, comme des mots de passe ou des clés cryptographiques. C’est comme si un cambrioleur, plutôt que de forcer votre porte d’entrée, pouvait lire vos documents confidentiels en regardant à travers les murs.

 

Mais alors, en quoi est-ce un problème ?

Le danger est bien réel : un simple site web malveillant peut potentiellement lire des données sensibles stockées dans le navigateur ou même la mémoire du navigateur elle-même, qui pourrait par exemple contenir en clair vos mots de passe stockés dans votre extension de gestionnaire de mots de passe, sans nécessiter l’installation d’un logiciel malveillant.

Cette réalité remet profondément en question les principes d’isolation que nous tenions pour acquis dans nos systèmes d’information. En d’autres termes, les fondations mêmes de la sécurité informatique en sont ressorties ébranlées.

 

Quels sont les risques concrets pour votre organisation ?

La découverte de Spectre a mis en lumière une vérité dérangeante : même l’architecture matérielle de nos systèmes ne peut être considérée comme intrinsèquement sûre.

Cette situation expose votre organisation à trois risques majeurs :

1. Fuite de données sensibles : Les données confidentielles peuvent être exfiltrées même à travers des environnements supposément isolés
2. Inefficacité des contrôles traditionnels : Les mécanismes de sécurité classiques sont insuffisants face à cette menace
3. Difficultés de remédiation complète : L’impossibilité d’éradiquer totalement la faille augmente la complexité de votre posture de sécurité

Mais plutôt que de voir ces défis uniquement comme des menaces, notre approche consiste à les transformer en opportunités d’optimisation et de création de valeur pour votre organisation.

 

D’accord, mais quelle approche adopter pour y faire face ?

Quand une vulnérabilité aussi fondamentale que Spectre confronte nos systèmes de protection, le modèle Zero Trust émerge comme une réponse architecturale pertinente. Son principe fondateur « Ne jamais faire confiance, toujours vérifier » s’aligne parfaitement avec la nature même de cette menace qui exploite les mécanismes d’optimisation internes des processeurs.

Le modèle Zero Trust, recommandé par les organismes de référence comme le NIST et l’ANSSI, repose sur plusieurs principes qui, lorsqu’ils sont confrontés à Spectre, créent des couches de protection complémentaires :

• Authentification continue : Chaque accès est vérifié, limitant les fenêtres d’exploitation potentielles
• Micro-segmentation : La limitation drastique de la zone d’exposition réduit l’impact des fuites mémoire
• Principe du moindre privilège : L’attribution des droits minimaux nécessaires limite ce qu’un attaquant pourrait obtenir
• Inspection et journalisation : La surveillance constante facilite la détection d’activités suspectes

Cette confrontation entre Spectre et Zero Trust illustre parfaitement l’évolution nécessaire des approches de sécurité. Chez Ariovis, nous constatons que cette évolution, au-delà de la protection renforcée, crée également de la valeur pour les organisations en optimisant leurs processus de sécurité.

 

Mais comment cette confrontation se traduit-elle concrètement ?

Lorsque Spectre tente d’exploiter les failles de l’architecture matérielle, le modèle Zero Trust oppose une résistance en profondeur. Cette confrontation se matérialise à travers quatre axes de défense qui, ensemble, neutralisent largement les vecteurs d’attaque :

1. Maintenir vos systèmes à jour avec une stratégie de patching robuste

Face à Spectre, les fabricants de processeurs, éditeurs de systèmes d’exploitation et développeurs de navigateurs ont tous publié des correctifs qui mitigent certains aspects de la vulnérabilité. Ces correctifs, bien qu’imparfaits pris isolément, constituent la première ligne de défense dans l’affrontement.

Ariovis, en partenariat avec Dhala, propose désormais une offre complète de sécurisation des postes de travail qui inclut :

• L’automatisation des mises à jour critiques
• Le monitoring des correctifs manquants
• La gestion centralisée des politiques de mise à jour

Quand les correctifs et le Zero Trust se combinent, ils créent une première barrière qui, si elle ne supprime pas entièrement la vulnérabilité, en complique considérablement l’exploitation.

2. Cataloguer et surveiller votre data face aux canaux latéraux

La nature même de Spectre, qui exploite des canaux latéraux pour exfiltrer des données, se heurte directement au principe de surveillance continue du modèle Zero Trust.

Pour que cette confrontation tourne à l’avantage de la sécurité, trois actions essentielles doivent être mises en place :

• Classifier vos données selon leur sensibilité
• Cataloguer l’emplacement de vos informations critiques
• Surveiller les accès anormaux à ces données

Des solutions comme Netwrix Auditor, recommandées par Ariovis, permettent de tracer précisément qui accède à quelles données et quand. Cette vigilance constante constitue un obstacle majeur pour les attaques de type Spectre qui, pour réussir, nécessitent plusieurs tentatives d’accès généralement détectables par ces systèmes.

3. Segmenter vos infrastructures selon les recommandations de l’ANSSI

La micro-segmentation, principe fondamental du Zero Trust, représente un défi insurmontable pour Spectre qui cherche à traverser les frontières entre environnements isolés. Conformément aux recommandations de l’ANSSI sur la segmentation réseau, cette approche consiste à :

• Créer des zones de sécurité distinctes selon la sensibilité des données
• Établir des contrôles stricts aux frontières entre ces zones
• Appliquer le principe du moindre privilège à chaque accès

Notre équipe spécialisée vous accompagne dans la conception et l’implémentation d’une architecture segmentée qui, face à Spectre, multiplie les obstacles et réduit drastiquement la surface d’attaque exploitable.

4. Planifier le renouvellement matériel stratégique

Dans cette confrontation, l’évolution matérielle joue également un rôle déterminant. Les processeurs conçus après 2019 intègrent des protections matérielles contre Spectre et ses variantes, réduisant significativement la surface d’attaque à la source.

Notre approche « Security Meets Business » vous permet d’identifier les systèmes critiques prioritaires pour ce renouvellement, transformant progressivement votre infrastructure pour la rendre naturellement plus résistante aux vulnérabilités matérielles.

 

Lorsque Spectre se confronte au Zero Trust, nous assistons à un duel fascinant entre une vulnérabilité fondamentale et un modèle de sécurité conçu pour ne jamais faire confiance. Cette confrontation illustre parfaitement l’évolution nécessaire de nos approches de cybersécurité face à des menaces qui remettent en question les fondements mêmes de notre architecture informatique.

Nous avons vu comment les principes du Zero Trust opposent une résistance structurée aux mécanismes d’exploitation de Spectre :

• L’authentification continue contre les accès non autorisés
• La micro-segmentation contre la propagation latérale
• Le principe du moindre privilège contre l’élévation des droits
• La surveillance permanente contre les comportements anormaux

Chez Ariovis, notre conviction est que cette approche, au-delà de son efficacité défensive, s’inscrit parfaitement dans notre vision « Security Meets Business ». En effet, une architecture Zero Trust bien implémentée permet non seulement de se protéger contre des vulnérabilités comme Spectre, mais aussi de :

• Optimiser les flux d’information au sein de l’organisation
• Clarifier les responsabilités et les périmètres d’accès
• Renforcer la conformité réglementaire
• Faciliter l’évolution de l’infrastructure

C’est précisément pourquoi Ariovis lance aujourd’hui une nouvelle offre intégrant sûreté et cybersécurité, incluant nativement la sécurité hardware.

Face à Spectre et aux futures vulnérabilités matérielles qui ne manqueront pas d’émerger, le Zero Trust représente non seulement un bouclier efficace, mais aussi un catalyseur de transformation pour votre organisation.

Contactez-nous pour découvrir comment cette confrontation entre menaces matérielles et architecture Zero Trust peut se transformer en opportunité pour votre entreprise.

When Security meets Business – Ariovis

Alors que les équipes IAM arrivent de mieux en mieux à combler les besoins métiers, il devient crucial d’éviter les dangers de l’« Hidden IAM » et de standardiser l’autorisation.

 

Chez Ariovis, nous pensons que la sécurité doit être un levier de valeur, pas un frein.

Pour améliorer votre efficacité opérationnelle, un des premiers vecteurs de création de valeur pour vos équipes de développeurs, nous abordons dans ce blog la face cachée de la gestion des autorisations : l’“Hidden IAM”.

 

En quoi consiste l’« Hidden IAM » ? 

 

Dans un système d’information, les équipes en charge des identités et des accès sont les équipes IAM (Identity and Access Management). Or, pour certaines organisations, des accès sont bien souvent gérés directement par les ingénieurs logiciels, ce qui représente très rapidement un frein à la montée en charge ou crée des coûts cachés.

En effet, les équipes IAM n’ont bien souvent pas connaissance des autorisations mises en place par les développeurs : elles sont codées en dur dans les applications et échappent à tout contrôle.

C’est donc toute cette partie non-répertoriée de la gestion des accès que nous appelons chez Ariovis : “L’Hidden IAM”.

 

Mais alors, en quoi est-ce un problème ?

 

Dans les faits, l’« hidden IAM » concerne toutes les applications qui préfèrent gérer leurs identités et leurs autorisations en interne plutôt que de concert avec les solutions IAM exist​ante​s. C’est souvent une réponse de facilité pour certains cas d’usage :

• « Je n’ai que 3 utilisateurs, à quoi bon externaliser ma gestion des autorisations ? »
• « C’est trop compliqué l’IAM, je n’ai pas le temps, et il faut que l’application soit passée en production ».
• « De toute manière mon application ne couvre qu’un besoin limité et ne manipule pas de grandes quantités de données ».

Quelle que soit la raison, l’« Hidden IAM » est un réflexe qu’utilisent les développeurs pour garder le contrôle, faute de solution centrale flexible et adaptée.

 

Mais en quoi est-ce un souci pour l’entreprise ?

 

Pour éviter de créer un goulot d’étranglement, les équipes IAM sont souvent tenues dans l’obscurité lors de la conception d’un nouveau logiciel et ne peuvent pas accompagner chaque projet dans une architecture Secure by design.

 

Cette situation est d’autant plus complexe que l’“Hidden IAM” dépasse l’implémentation du SSO ! Le risque est que les applications utilisent localement des données pour l’autorisation des utilisateurs, et ne se servent du SSO que dans le but d’identifier les utilisateurs. Dans les faits, cela revient à faire perdre l’accompagnement des accès de vos collaborateurs par les équipes IAM.

 

En conséquence, le modèle utilisé lorsque la gestion des autorisations est déléguée directement aux applications, comme indiqué sur le schéma suivant :

1. L’utilisateur requête l’application, qu’il soit ou non identifié par un service SSO
2. Le serveur va vérifier les droits écrits en dur dans l’application (Et parfois requêter d’autres sources de données via des appels API complémentaires)
3. La ressource est accordée et renvoyée à l’utilisateur

Cette boucle se répète pour chaque application, toutes gérant de manière autonome et indépendante les droits attribués aux utilisateurs.

 

Mais cette configuration entraîne alors 3 problèmes majeurs :

 

1. Les autorisations étant gérées sur chaque application de manière indépendante, les équipes IAM n’ont désormais plus aucune visibilité sur ce qui est fait des identités, et des accès sur la ressource finale. Cela veut dire que lorsque vous auditez le compte d’un collaborateur, si les permissions sont directement codées en dur dans l’application, vous perdez le suivi des données auxquelles le collaborateur a accès sur l’application. Et à moins d’implémenter un système couteux d’autorisation granulaire au sein de l’application, vous n’aurez aucune preuve sur la réalité des autorisations du compte et de ses actions au sein de l’application.
2. Les équipes IAM se retrouvent donc à devoir gérer des droits fins sur des centaines d’applications différentes. Faire évoluer simplement les autorisations d’un utilisateur devient donc lourd avec la croissance du nombre d’applications.
3. Laisser la gestion des droits aux applications, c’est avoir un impact sur son efficience opérationnelle et sa capacité à rester conforme sur le long terme (le cas-échéant en fonction des organisations). Réaliser un audit de permissions données au cas par cas pour chaque application est long et fastidieux si bien que les équipes sont bien souvent dans l’incapacité d’être conformes sur l’ensemble des applications.

 

D’accord, mais quelles solutions concrètes pouvons-nous apporter ?

 

Chez Ariovis, nous considérons l’« hidden IAM » comme un défi majeur pour les équipes IAM, qui constatent que la gestion de leurs applications métier leur échappe sans savoir quelle réponse concrète apporter. Pour résoudre ce problème, les solutions proposées doivent concilier les besoins des développeurs comme ceux des équipes IAM et des équipes sécurité/conformité. C’est là tout l’intérêt de la Centralisation des autorisations telle que la proposent les éditeurs Axiomatics et  Ping Identity !

https://ariovis.fr/partenaires

La Centralisation consiste à mettre en place un point de décision des autorisations. Toutes les demandes d’accès des utilisateurs passent dans un moteur de décision, qui statue sur la légitimité à accorder aux demandes. Cette méthode apporte de nombreux bienfaits :

• Centraliser les accès, c’est pouvoir commissionner ou retirer rapidement des permissions à n’importe quel utilisateur partout dans le SI, et ainsi mieux protéger les données hébergées. C’est ce que propose avec sa solution PingAuthorize. 

• Centraliser les mécaniques d’autorisation permet de couvrir des cas plus adaptés aux problématiques métiers de l’organisation, et même de mettre en place de l’autorisation fine et en temps réel.

 

• Enfin, la centralisation permet d’économiser des ressources de développement et du temps. Avec une méthode simple pour l’intégration et le mapping correct des ressources à protéger, il devient bien plus pratique pour chaque développeur de gagner en simplicité, et in fine de gagner du temps avec le nombre croissant d’applications couvertes.

 

Les leaders du marché proposent des solutions d’autorisation centralisée éprouvées, comme notre partenaire Axiomatics, qui propose notamment une solution d’orchestration dans des contextes Zero Trust ou notre partenaire Ping Identity avec sa solution Ping Authorize.

 

Mais comment cela fonctionne concrètement ?

 

L’idée est de faire passer ses requêtes dans un moteur de décision qui va faire appliquer des politiques d’accès. Le point de décision choisit s’il laisse passer les requêtes, et donne accès ou non à la ressource demandée.

Enfin, la ressource en question retransite par le moteur de décision (ce qui permet d’appliquer des politiques sur le partage des informations sensibles) et est ensuite transférée à l’utilisateur final.

 

Le schéma suivant illustre ce cas d’usage.

1. L’utilisateur demande accès à une application ou une ressource
2. Le moteur compare la requête avec les politiques définies par l’organisation
3. Afin d’évaluer au mieux la requête dans le contexte de l’utilisateur en temps réel, le moteur de décision cherche d’autres sources d’attributs (historique de l’utilisateur, heure de connexion, provenance de la requête…)
4. Le moteur tranche, et dans le cas présent, fait suivre la demande d’accès
5. La ressource est accordée par l’application, et le moteur retourne la ressource demandée à l’utilisateur

 

L’intérêt d’appliquer le principe d’autorisation centralisée réside dans la granularité qu’apporte ce type de système a votre organisation. Avec des politiques ajustées et des sources d’attributs variées, il est possible de prendre en compte le contexte de l’utilisateur en temps réel.

 

De plus, avec la précision des politiques, il devient désormais possible d’effectuer un contrôle des données « sortantes », ce qui renforce de plus la protection des données sensibles, et d’autant la conformité de l’entreprise vis-à-vis de ses engagements de confidentialité.

 

Bien sûr, afin de tirer parti au mieux des systèmes d’autorisation centralisés, il est conseillé de procéder à de nombreux tests afin de se conformer à tous les cas d’usage possible.

 

Conclusion

 

Chez Ariovis, nous croyons en la création de valeur par l’amélioration de l’efficacité opérationnelle des différentes équipes.

Nous avons abordé dans cet article les risques que l’« hidden IAM » font peser sur votre organisation :

• Perte de visibilité sur les accès
• Maintenance plus complexe
• Conformité plus complexe à assurer

La Centralisation des autorisations est une solution efficace qui permet de répondre à cette problématique. En standardisant les autorisations, vous permettez à votre organisation de garder le contrôle parmi les accès distribués, et donc de mieux accompagner vos équipes métiers.

Gagnez du temps. Soyez plus efficaces. Ne réinventez pas la roue des autorisations à chaque application : centralisez, auditez, économisez et surtout restez connectés pour en savoir plus.

 

When Security meets Business –  Ariovis par Mathieu Lebrun

 

Ariovis et Axiomatics annoncent leur partenariat stratégique pour renforcer la gouvernance des accès.

Paris, le 8 avril 2025 – Ariovis, cabinet de conseil indépendant spécialisé en cybersécurité et gestion des identités (IAM), officialise aujourd’hui son partenariat avec Axiomatics, acteur mondial de référence en matière de FGA (fine-grained authorization) (ABAC). Ensemble, ils unissent leurs expertises pour accompagner les entreprises dans la mise en œuvre de stratégies d’accès innovantes, sécurisées et agiles. 

Une réponse aux nouveaux défis cyber

Dans un contexte où la transformation numérique s’accélère, les organisations font face à une complexité croissante dans la gestion des accès. Alors que 68 % des violations de données sont liées à des erreurs humaines non intentionnelles, l’adoption de modèles de contrôle d’accès dynamiques devient essentielle.

Ce partenariat vise à proposer aux clients d’Ariovis des solutions d’autorisation centralisées, adaptatives et robustes, capables de s’intégrer à des environnements complexes comme les API Mesh ou les systèmes multicloud. En s’appuyant sur la technologie Axiomatics, Ariovis renforce son accompagnement sur des projets à forte valeur stratégique : mise en œuvre du modèle Zero Trust, sécurisation des données sensibles, et pilotage des politiques d’accès en temps réel.

Une vision commune : faire de la sécurité un levier business

Ce rapprochement repose sur des valeurs partagées : excellence, innovation, transparence et impact. Les deux entreprises partagent une même conviction : la cybersécurité ne doit plus être perçue comme une contrainte, mais comme un levier de performance.

« Chez Ariovis, nous pensons que la connaissance est une forme de défense. Ce partenariat avec Axiomatics nous permet d’allier innovation technologique et approche humaine pour faire de l’autorisation un atout stratégique pour nos clients », déclare Matthieu Filizzola, fondateur d’Ariovis.

« Notre collaboration avec Ariovis s’inscrit dans notre volonté de développer un écosystème de partenaires experts, capables d’intégrer nos solutions avec une compréhension fine des enjeux métiers et techniques »,ajoute Jim Barkdoll, CEO d’Axiomatics.

À propos d’Ariovis

Ariovis est un cabinet de conseil français indépendant spécialisé dans la cybersécurité, la gouvernance des identités (IAM) et la transformation numérique sécurisée. Ariovis accompagne les organisations dans la maîtrise de leurs risques, la gestion de leurs accès et l’alignement de leur sécurité avec leurs enjeux business.

🔗 www.ariovis.fr

À propos d’Axiomatics

Axiomatics est un leader mondial des solutions FGA (fine-grained authorization) basées sur le modèle ABAC. Grâce à sa technologie, Axiomatics permet aux entreprises de définir et d’appliquer des politiques d’accès précises, dynamiques et adaptables à tous types d’environnements.

🔗 www.axiomatics.com

Depuis le 2 avril 2025, Netwrix annonce une évolution majeure dans sa stratégie produit avec le changement de nom de Netwrix Usercube qui devient Netwrix Identity Manager.

Les raisons de cette évolution :

• Permettre aux clients de résoudre plusieurs problématiques avec une solution unique
• Augmenter la valeur ajoutée et réduire le taux de désabonnement afin de soutenir la croissance commerciale de Netwrix et de ses partenaires
• Optimiser la gestion du portfolio en intégrant les produits et les équipes R&D
• Simplifier la communication autour des produits Netwrix
• Assurer une cohérence dans la nomenclature des produits
• Refléter plus précisément la valeur et les fonctionnalités des solutions
• Faciliter l’évolution future des produits