Le modèle périmétrique traditionnel devient de plus en plus obsolète. Une fois qu’un attaquant rentre dans le SI et a l’accès au réseau interne, il peut se déplacer latéralement (cela signifie qu’il peut explorer et accéder à des systèmes et des services dans le réseau) souvent sans authentification forte ou un contrôle des autorisations à chaque étape.
Ce manque de contrôle permet à l’attaquant de faire une élévation de privilège, d’accéder à des données sensibles, ou de compromettre d’autres systèmes.
C’est là que le Zero Trust entre en jeu. En Zero Trust, on ne fait confiance à rien et à personne par défaut, même dans le périmètre. Les tentatives d’accès sont vérifiées dynamiquement en prenant en compte l’identité, le contexte et la posture de sécurité.
L’IAM (Identity and Access Management) a pour objectif de :
Vérifier l’identité (humain et non-humain)
Appliquer les politiques d’accès conditionnels
Gérer les droits avec des modèles (RBAC, ABAC, CBAC)
Dans cet article, nous allons voir que l’IAM n’est pas juste une brique, mais un pilier d’une stratégie Zero Trust.
Zero Trust en bref selon le NIST
C’est quoi le Zero Trust ?
Le NIST (National Institute of Standards and Technology) répond à la question dans une publication nommé Zero Trust Architecture.
Le NIST définit le Zero Trust comme un paradigme qui n’accorde pas de confiance implicite à un utilisateur, appareil ou un réseau (qu’il soit interne ou externe). L’accès à une ressource doit être authentifié, autorisé et validé en continu.
Les 7 piliers du Zero Trust
Pour mettre en place une bonne stratégie Zero Trust, le NIST retient 7 piliers de valeurs :
Cliquez sur l’image pour l’agrandir
Ressources : Tout les assets (données, appareils, …) sont considérés comme des ressources.
Communication : On ne fait plus confiance aux communications, qu’elles soient internes aux équipements de l’entreprise, ou venant de l’extérieur. En conséquence, on doit appliquer par défaut les mêmes mesures de sécurité (elles doivent être authentifiées et autorisées).
Accès par session : Les accès sont accordés par session avec un contrôle granulaire.
Politiques dynamiques : Les décisions d’accès sont basées sur des politiques dynamiques qui incluent une analyse du contexte et du comportement.
Surveillance : L’intégrité et la sécurité des assets de l’entreprise doivent être surveillées en continu.
Authentification & Autorisation : L’accès aux ressources est authentifié et autorisé dynamiquement grâce à une surveillance, une réévaluation et une application continues des politiques afin de maintenir un équilibre entre la sécurité et l’efficacité.
Amélioration continue : L’organisation doit collecter le plus d’informations possible sur ses assets, son infrastructure et ses réseaux ainsi que ses communications dans le but de renforcer ses politiques de sécurité.
Composants logiques d’une ZTA
Il y a plusieurs composants logiques nécessaire à la mise en place d’une ZTA (Zero Trust Architecture). Ces composants sont des services qui peuvent être On-Premises ou même en Cloud.
Cliquez sur l’image pour l’agrandir
Voici la description des composants :
Policy Engine (PE) : Prend les décisions d’accès.
Policy Administrator (PA) : Applique les décisions via le réseau.
Policy Enforcement Point (PEP) : Applique les politiques d’accès au niveau de la ressource.
Data sources : CDM, PKI, SIEM, IAM, etc.
IAM : Les fondations d’une politique ZTA
L’IAM est au cœur du Zero Trust
L’IAM, c’est elle qui va gérer, vérifier et contrôler les identités (humains et non-humains). Il permet un contrôle granulaire et dynamique des accès en s’appuyant sur les attributs, le contexte (localisation, heure) et le contexte comportemental.
En Zero Trust, chaque décision dépend d’une vérification précise de l’identité et d’une évaluation du contexte en temps réel. Ces deux points sont gérés par l’IAM.
Sans l’IAM, une stratégie Zero Trust ne pourrait pas être pertinente.
Composants IAM essentiels
Plusieurs composants de l’IAM sont primordiaux pour mettre en place une ZTA. Ariovis propose ici une liste des essentiels :
Gestion du cycle de vie des identités : Onboarding, Offboarding, Joiner-Mover-Leaver (JML), accès temporaire, tous les processus qui assurent le bon accès au bon moment avec la durée nécessaire.
Authentification forte : MFA adaptatif, biométrie, passwordless.
Modèles de droits : Utilisation de modèles de droits comme le RBAC (Role Base Access Control) et/ou ABAC (Attribute Base Access Control) pour le principe du moindre privilège et l’accès contextuel.
Privileged Access Management (PAM) : Un contrôle et une surveillance strict des comptes administrateurs et sensibles.
Non-Person Identity (NPE) : Sécuriser la gestion des comptes de service, des clefs API, des secrets et des certificats utilisés par les services, bots et applications.
De l’IAM traditionnel à l’IAM Zero Trust
IAM statique vs IAM dynamique
Traditionnellement, l’IAM s’appuie sur une authentification unique lors de la connexion et sur un modèle RBAC statique. L’IAM Zero Trust impose une validation continuelle de l’identité et du contexte lors d’une session. L’accès est réévalué dynamiquement basé sur le contexte.
Intégration avec d’autres composants du Zero Trust
L’IAM ne fonctionne pas dans son coin dans une ZTA. Pour que l’IAM soit le plus efficace possible, il doit être intégré dans des composant du Zero Trust :
UEBA (User and Entity Behavior Analytics) : En analysant le comportement et en détectant les anomalies, l’UEBA permet à l’IAM de déclencher une authentification additionnelle ou de restreindre l’accès dynamiquement.
Policy Engine (PE) et Policy Administrator (PA) : L’IAM utilise directement ces composants pour appliquer des décisions en temps réel sur un contrôle d’accès. PE et PA vont utiliser les informations de l’IAM pour prendre des décisions granulaires.
Protocole standard : Les protocoles SAML, OIDC (OpenID Connect) et SCIM sont primordiaux pour fluidifier la fédération d’identité, l’authentification et pour gérer le cycle de vie des identités. Ici, vous pouvez trouver un guide sur comment connecter une application avec OIDC.
Migration vers une ZTA
Pour migrer vers une ZTA, il y a deux points clefs selon le NIST :
Commencer avec une approche hybride : La plupart des organisations utilisent un modèle hybride, qui combine le modèle périmétrique avec une approche Zero Trust.
Progressive et basée sur des Use Case : La migration devrait être incrémentale, focalisée sur des use cases spécifiques plutôt que sur une transformation totale tout en une fois.
Voici les étapes de migration clef :
Identifier les acteurs : Pour commencer, il faut lister les utilisateurs, services et les identités non-humaines qui interagissent avec les ressources. Ne pas oublier les identités qui proviennent du shadow IT, nous appelons cela l’ « Hidden IAM ».
Inventaire des assets : Ensuite, il faut dresser un catalogue des hardwares, softwares, données et des services cloud que gère ou possède l’organisation.
Identifier les processus clefs : Après, il faut identifier les workflows critiques, et après faire une analyse de risque pour définir les exigences d’accès.
Définition des politiques d’accès : Ensuite, il faut développer les politiques dynamiques basées sur les identités, statuts des assets et du contexte (ex : localisation, heure, etc).
Sélection des technologies : Avant le déploiement, il faut rechercher et choisir les solutions pour les composants Zero Trust : IAM, PDP, PEP, etc.
Déploiement initial et surveillance : On peut maintenant commencer le déploiement de la ZTA. On commence par les use cases avec un risque faible. On surveille la nouvelle architecture et, si besoin, on fait des ajustements sur les configurations.
Étendre le ZTA : Pour finir, on continue le déploiement sur des systèmes de plus en plus critiques.
Conclusion
L’IAM, c’est bien plus qu’un composant de cybersécurité, c’est un pilier d’une bonne stratégie Zero Trust. Dans un monde où l’identité est une cible majeure des attaquants, l’IAM est la tour de contrôle pour vérifier, autoriser et surveiller en continu chaque demande d’accès.
Chez Ariovis, nous appliquons ces principes chez nos clients. Dans toutes nos intégrations, on utilise une approche Zero Trust. Cela implique que chaque solution que nous implémentons n’a pas de confiance implicite, impose de l’authentification à chaque étape et applique des règles dynamiques suivant le contexte. Pour nous, le Zero Trust n’est pas qu’un « buzzword », mais un modèle concret ancré au cœur de nos projets IAM.
Longtemps spectatrice du duel entre les géants américains et asiatiques, elle tente aujourd’hui de reprendre le contrôle sur ses données, ses infrastructures et sa sécurité. Ce réveil, encore fragile, s’exprime à travers de nouvelles régulations, des projets technologiques souverains… et une volonté claire : ne plus dépendre uniquement des règles imposées par la Silicon Valley.
Mais cette “résistance” européenne est-elle crédible ? Sur quels terrains s’exerce-t-elle ? Et peut-elle vraiment inverser des années de dépendance technologique ?
Décryptage d’une reconquête en cours.
Une domination américaine historique… et bien installée
Depuis les débuts du web, les États-Unis ont façonné l’internet mondial.
Google, Apple, Meta, Amazon, Microsoft : les principales plateformes, les outils du quotidien, les services cloud et même les câbles sous-marins sont largement entre les mains de firmes américaines, souvent liées aux logiques de renseignement.
Les conséquences ?
Une dépendance massive des entreprises et administrations européennes.
Une exposition systématique aux lois extraterritoriales américaines (comme le Cloud Act).
Et une circulation de nos données personnelles vers des serveurs souvent hors d’Europe.
Ce déséquilibre n’est plus seulement économique : il est devenu stratégique.
L’Europe contre-attaque : un chantier sur plusieurs fronts
Face à ce constat, l’Union européenne a décidé de ne plus rester passive. Depuis quelques années, elle déploie une série de mesures concrètes pour regagner en autonomie :
1. Des régulations fortes : RGPD, DSA, DMA
Le RGPD (Règlement général sur la protection des données), adopté en 2016, a posé les bases d’un droit à la vie privée numérique.
Les lois DSA (Digital Services Act) et DMA (Digital Markets Act) visent, elles, à réguler les grandes plateformes et rééquilibrer les rapports de force.
2. Des projets technologiques souverains
GAIA-X : un cloud européen pour héberger les données stratégiques.
Chips Act : pour relocaliser une partie de la production de semi-conducteurs.
EU Digital Identity Wallet : un portefeuille numérique européen sécurisé.
3. Des alternatives numériques : comme DNS4EU
Moins médiatisé, mais tout aussi stratégique, DNS4EU (DNS for Europe) est une initiative pour créer un serveur DNS souverain, respectueux des normes européennes et indépendant des grands acteurs américains.
DNS4EU : un symbole discret mais fort
Le DNS, c’est l’annuaire invisible d’Internet. Celui qui permet à votre ordinateur de transformer une adresse web (comme ariovis.fr) en un chemin technique compréhensible.
Aujourd’hui, cette opération passe dans la majorité des cas par les serveurs de Google ou de Cloudflare américains.
DNS4EU propose une alternative :
Hébergée sur le territoire européen,
Conforme au RGPD,
Non exploitée à des fins commerciales,
Et capable d’intégrer des filtres de sécurité contre les cybermenaces.
C’est un petit geste technique, mais un grand signal politique : l’Europe peut encore construire ses propres infrastructures.
Et ce changement peut se faire chez soi, dès maintenant, en reconfigurant les paramètres DNS de votre box internet.
Reprendre le contrôle, ça commence aussi à la maison
La souveraineté numérique n’est pas qu’un débat institutionnel : elle commence aussi par des choix individuels.
Changer ses DNS, mieux protéger ses données, comprendre qui collecte quoi, où vont nos informations : ces gestes simples sont autant d’actes citoyens du numérique moderne.
Chez Ariovis, nous vous aidons à faire ces choix de manière éclairée, avec des tutoriels pour installer DNS4EU selon votre opérateur :
L’Europe n’a pas (encore) ses Google, ses Amazon ou ses systèmes d’exploitation grand public. Mais elle pose les fondations d’un numérique alternatif, plus éthique, plus contrôlé, plus transparent.
DNS4EU, GAIA-X, RGPD… autant de briques d’une souveraineté numérique en construction.
Et pour que cette résistance devienne une réelle alternative, elle devra s’incarner dans les usages. Individus, entreprises, institutions : chacun a un rôle à jouer pour redonner du sens au mot “indépendance” dans l’univers digital
Internet est un espace de liberté, mais aussi un espace de menaces.
C’est dans ce contexte que l’Union européenne a lancé DNS4EU, un service DNS européen présenté comme plus sûr, plus transparent et plus respectueux de la vie privée. Mais depuis son annonce, les avis sont partagés :
DNS4EU est-il une réponse aux enjeux de cybersécurité et de souveraineté numérique, ou un pas de plus vers une forme de contrôle étatique d’Internet ?
Décryptage d’un sujet sensible… et guide pratique pour ceux qui veulent reprendre la main.
DNS : un petit sigle pour un enjeu majeur
Avant de parler de DNS4EU, il faut comprendre ce qu’est un DNS (Domain Name System).
Quand vous tapez une adresse web (par exemple ariovis.fr), votre appareil utilise un serveur DNS pour traduire ce nom en adresse IP, et vous connecter au bon site. C’est un peu l’annuaire invisible du web.
Problème : ces serveurs DNS sont souvent ceux de votre opérateur ou d’un géant américain. Ils peuvent :
enregistrer vos requêtes,
exploiter vos données à des fins commerciales,
ou censurer certains contenus, selon les pays et les politiques.
C’est là qu’intervient DNS4EU.
DNS4EU : un projet européen ambitieux
DNS4EU est un service DNS public, soutenu par la Commission européenne, dont les objectifs sont clairs :
garantir une résolution DNS locale et sécurisée,
offrir une alternative européenne aux DNS de Google, Cloudflare, OpenDNS, etc.,
protéger les citoyens contre les menaces numériques (phishing, malwares…),
respecter le RGPD et limiter l’exploitation commerciale des données.
Concrètement, DNS4EU promet :
plus de confidentialité,
plus de transparence,
plus de souveraineté technologique pour les Européens.
Mais certains y voient aussi… un risque de dérive.
Libertés numériques : une frontière à surveiller
La question que beaucoup se posent est légitime : si l’Europe propose un DNS centralisé, qu’est-ce qui empêche à terme une forme de filtrage des contenus, ou une liste noire de sites interdits, comme on peut le voir dans certains régimes autoritaires ?
Pour l’instant, DNS4EU est optionnel, et sa configuration reste entièrement volontaire.
Mais cette méfiance met en lumière un sujet plus large : qui contrôle les infrastructures clés du web, et à quelles conditions ?
Utiliser DNS4EU revient à faire un choix : celui de la transparence européenne, face à l’opacité commerciale de certains services étrangers.
Mais comme pour tout outil, c’est l’usage et la gouvernance qui feront la différence.
DNS4EU chez soi : pourquoi (et comment) le configurer ?
Malgré les débats, DNS4EU peut être un vrai levier de cybersécurité pour les particuliers.
Changer vos DNS pour DNS4EU vous permet :
de mieux protéger votre vie privée,
de bloquer certains sites malveillants automatiquement,
de gagner en stabilité et rapidité, grâce à une infrastructure locale,
et de filtrer les contenus sensibles (pour vos enfants, par exemple).
Bonne nouvelle : vous pouvez le configurer vous-même, en quelques minutes, directement sur votre box Internet.
Chez Ariovis, nous avons rédigé des guides simples et complets, adaptés à chaque opérateur :
En quelques clics, vous pouvez reprendre le contrôle sur votre navigation, sans avoir à installer de logiciel, ni modifier chaque appareil.
En conclusion : s’informer pour mieux choisir
DNS4EU n’est ni une solution miracle, ni une menace programmée. C’est un outil : à chacun de s’en emparer en connaissance de cause.
Le vrai enjeu n’est pas de choisir entre “liberté” ou “sécurité”, mais de trouver un équilibre intelligent, respectueux de vos droits et de vos besoins numériques.
En configurant vos propres DNS, vous faites déjà un pas vers une navigation plus responsable et souveraine.
Et si vous souhaitez aller plus loin, vous informer, protéger votre réseau domestique ou accompagner vos enfants dans leurs usages numériques, vous pouvez retrouver des contenus simples et pédagogiques sur notre compte Instagram : @ariovis_officiel
Des conseils concrets, sans jargon, pour un web plus sûr et plus conscient.
Ils jouent, ils regardent des vidéos, ils cliquent partout… et parfois, ils tombent sur ce qu’ils n’auraient jamais dû voir. Aujourd’hui, protéger ses enfants sur Internet, ce n’est plus un “plus”, c’est une évidence.
Mais bonne nouvelle : vous n’avez pas besoin de dépenser un centime pour les aider à naviguer plus sereinement.
Voici 5 solutions concrètes, faciles à mettre en place, et surtout gratuites, pour mieux encadrer la vie numérique des plus jeunes.
1. Utiliser les contrôles parentaux intégrés à vos appareils
C’est peut-être l’option la plus sous-estimée : tous les ordinateurs, téléphones ou tablettes récents ont déjà des outils de contrôle parental intégrés.
Sur Windows, Android, iOS, Mac… vous pouvez :
créer un profil enfant,
définir des horaires d’utilisation,
bloquer certains sites ou applications,
suivre l’activité sans être intrusif.
Par exemple :
Sur Android, installez Google Family Link : il vous permet de tout gérer depuis votre propre téléphone.
Sur iPhone/iPad, activez “Temps d’écran” pour poser des limites et filtrer les contenus.
Sur Windows, ajoutez un compte enfant dans les paramètres > Famille.
Aucun besoin d’être expert : ces outils sont faits pour les parents, pas pour les techniciens.
2. Installer un navigateur adapté aux enfants
Plutôt que de laisser vos enfants utiliser Chrome ou Safari en libre accès, installez un navigateur sécurisé, conçu spécialement pour eux.
C’est gratuit, rapide à mettre en place, et ça change tout.
Trois options fiables :
Qwant Junior : moteur de recherche français, pas de pub, pas de tracking.
Kiddle : une version de Google avec filtres renforcés.
Google SafeSearch : une option à activer dans les paramètres de recherche.
À privilégier dès l’école primaire, quand les enfants commencent à naviguer seuls.
3. Filtrer les contenus directement depuis votre box Internet
Il existe une méthode simple, gratuite et très efficace pour bloquer les sites inadaptés à la source, sans devoir toucher à chaque appareil :
configurer des DNS filtrants directement sur votre box Internet.
Concrètement, cela permet de filtrer automatiquement les contenus violents, adultes ou malveillants sur tout votre réseau domestique : ordinateurs, tablettes, consoles, télévisions connectées…
Et la bonne nouvelle, c’est que c’est à la portée de tous, même sans compétences techniques.
Nous avons rédigé des tutoriels détaillés, étape par étape, pour vous accompagner selon le modèle de votre box :
DNS4EU est un service DNS européen, soutenu par l’Union européenne, conçu pour garantir plus de sécurité, de respect de la vie privée et de performance.
Changer vos DNS, c’est un peu comme poser un filtre parental global sur votre Wi-Fi, sans rien avoir à installer.
4. Parler avec vos enfants, vraiment
Soyons honnêtes : aucun outil ne remplacera le dialogue.
Pas besoin d’être expert en cybersécurité pour leur transmettre les bons réflexes. Il suffit d’oser ouvrir la discussion.
Des règles de base à répéter régulièrement :
Ne jamais donner son vrai nom, son école ou son adresse.
Ne pas répondre aux messages d’inconnus.
Vous prévenir tout de suite s’ils voient quelque chose de choquant.
Vous pouvez aussi regarder une vidéo ensemble, ou poser une question ouverte comme : “Et toi, tu sais ce qu’est une arnaque en ligne ?”
5. Apprendre les bons réflexes… de manière simple et ludique
La cybersécurité n’a pas besoin d’être compliquée ou anxiogène. Avec les bons mots et les bons supports, on peut expliquer très tôt aux enfants comment adopter les bons réflexes en ligne et même en faire un moment complice.
Plutôt que de dramatiser ou de surveiller en silence, vous pouvez par exemple :
poser une question autour d’une situation vécue (« Et si un inconnu t’écrivait sur un jeu ? »)
discuter ensemble des bons gestes à adopter
ou encore regarder un mini-format illustré, avec eux, pour ouvrir le dialogue
Chez Ariovis, on croit que la sensibilisation passe par l’éducation et la répétition, pas par la peur.
C’est pour ça qu’on partage régulièrement sur Instagram des contenus pédagogiques accessibles, pensés pour les jeunes et leurs parents !
Un bon réflexe : suivre @ariovis_officiel pour recevoir chaque semaine des clés utiles pour un Internet plus sûr en famille.
En résumé
Protéger ses enfants en ligne ne demande ni gros moyens, ni compétences techniques.
Avec un peu de bon sens, des réglages simples et une vraie discussion à la maison, vous pouvez déjà offrir un cadre numérique plus sûr.
Vous avez reçu un accès client ? Bonne nouvelle : vous pouvez désormais vous connecter directement avec votre compte Microsoft.
Optimisation de la communication client
Mise en place d’un système centralisé pour diffuser efficacement nos actualités, alertes importantes et contenus personnalisés auprès de nos clients
Amélioration
Académie :
Renforcez votre maîtrise des enjeux IAM avec 8 cours ciblés
Enrichissement avec 8 modules d’expertise dédiés aux grandes tendances IAM : intelligence artificielle, identité numérique, sécurité, souveraineté, innovations d’accès… De quoi renforcer vos compétences sur les enjeux clés d’aujourd’hui et de demain.
Corrections
Affichage erroné sur nos 3 sites (Extranet, Jobs & Blog)
Un bug d’affichage a temporairement affecté nos sites web : le fond est passé en blanc, rendant le texte illisible. Une solution alternative a été mise en place immédiatement, le temps qu’une correction soit trouvée. Le bug a depuis été résolu définitivement.
Information importante ⚠️ Cet article a été publié à une date antérieure et certaines informations peuvent avoir évolué. Nous vous recommandons de consulter notre version mise à jour ici.
Des articles complémentaires sur la configuration de DNS4EU sur Windows, Android, macOS et iPhone seront prochainement publiés.
Vous êtes client SFR et vous souhaitez renforcer la sécurité et la confidentialité de votre connexion internet ? Configurer votre box SFR pour utiliser les serveurs DNS4EU est une solution efficace. Chez Ariovis, experts en cybersécurité et gestion des accès, nous vous accompagnons avec un tutoriel simple pour installer DNS4EU sur votre box SFR.
Pourquoi utiliser DNS4EU sur votre box SFR ?
Le serveur DNS joue un rôle essentiel en traduisant les noms de domaine en adresses IP. Par défaut, votre box SFR utilise les DNS de l’opérateur, qui ne garantissent pas toujours la meilleure protection de vos données personnelles.
DNS4EU, soutenu par la Commission européenne, propose une infrastructure DNS européenne sécurisée et respectueuse de la vie privée. Passer à DNS4EU vous permet de :
Protéger vos données personnelles,
Profiter d’une navigation plus sécurisée,
Bénéficier d’un service DNS performant et fiable.
Étapes pour configurer DNS4EU sur votre box SFR
Suivez le guide Ariovis pour modifier vos DNS sur une box SFR en quelques étapes simples.
1. Connectez-vous à l’interface de votre box SFR
Assurez-vous d’être connecté au réseau SFR (Wi-Fi ou Ethernet).
Ouvrez votre navigateur et tapez l’adresse suivante :
http://192.168.1.1
Identifiez-vous avec vos identifiants. Par défaut, le login est souvent admin et le mot de passe se trouve sur l’étiquette de votre box.
2. Accédez aux paramètres DNS
Dans l’interface, rendez-vous dans la section Réseau local ou Paramètres avancés,
Cherchez la rubrique Serveurs DNS ou Configuration DNS.
3. Configurez les serveurs DNS4EU sur votre box SFR
Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre box SFR :
Dans l’interface box SFR, rendez-vous dans Paramètres avancés > Réseau.
Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
Enregistrez les modifications, puis redémarrez votre box SFR et vos appareils pour appliquer les nouveaux réglages.
Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (box SFR 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.
4. Enregistrez et redémarrez la box
Sauvegardez vos modifications.
Pour que la configuration soit effective, redémarrez votre box SFR ainsi que vos appareils connectés.
Comment vérifier que DNS4EU est actif ?
Pour confirmer que votre box SFR utilise bien DNS4EU, procédez à un test simple :
La réponse doit indiquer l’un des serveurs DNS4EU (51.81.216.60 ou 51.81.216.70).
Ariovis, votre expert cybersécurité pour sécuriser votre réseau
Changer vos DNS est un premier pas vers une meilleure protection de votre réseau domestique. Chez Ariovis, nous accompagnons particuliers et entreprises dans leurs projets de sécurité informatique, gestion des accès (IAM) et protection des infrastructures.
Pour bénéficier d’un accompagnement personnalisé, contactez-nous ou visitez notre site ariovis.fr
Conclusion
Installer DNS4EU sur une box SFR est une solution simple pour renforcer la confidentialité et la sécurité de votre connexion internet. Suivez ce guide Ariovis pour une installation rapide et fiable, et naviguez sereinement grâce à un DNS européen dédié à la protection des données.
Information importante ⚠️ Cet article a été publié à une date antérieure et certaines informations peuvent avoir évolué. Nous vous recommandons de consulter notre version mise à jour ici.
Vous êtes abonné Bouygues Telecom et souhaitez sécuriser davantage votre connexion internet ? Installer DNS4EU sur votre Bbox est une solution simple et efficace pour renforcer la confidentialité et la sécurité de votre navigation. Chez Ariovis, experts en cybersécurité et gestion des accès (IAM), nous vous expliquons comment configurer facilement DNS4EU sur votre Bbox.
Pourquoi configurer DNS4EU sur votre Bbox ?
Les serveurs DNS traduisent les noms de domaine (comme ariovis.fr) en adresses IP. Par défaut, la Bbox utilise les serveurs DNS de Bouygues Telecom, qui peuvent ne pas offrir une confidentialité optimale.
DNS4EU est un service DNS européen soutenu par la Commission européenne, conçu pour garantir :
Une meilleure protection des données personnelles,
Une navigation internet sécurisée,
Une infrastructure européenne fiable et performante.
En configurant DNS4EU sur votre Bbox, vous profitez d’une meilleure cybersécurité au quotidien.
Comment installer DNS4EU sur votre Bbox ?
Voici les étapes simples pour configurer DNS4EU sur votre Bbox, recommandées par nos experts Ariovis.
1. Connectez-vous à l’interface de votre Bbox
Assurez-vous d’être connecté à votre réseau Bouygues Telecom (Wi-Fi ou Ethernet).
Ouvrez un navigateur et saisissez l’adresse suivante :
http://192.168.1.254
Connectez-vous avec vos identifiants. Par défaut, le login est souvent admin, et le mot de passe se trouve sur une étiquette sous votre Bbox.
2. Accédez aux paramètres DNS
Dans le menu, cliquez sur Paramètres avancés ou Réseau local,
Puis recherchez la section Serveurs DNS ou Configuration DNS.
3. Configurez les serveurs DNS4EU sur votre Bbox
Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre Bbox :
Dans l’interface Bbox, rendez-vous dans Paramètres avancés > Réseau.
Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
Enregistrez les modifications, puis redémarrez votre Bbox et vos appareils pour appliquer les nouveaux réglages.
Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (Bbox 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.
4. Enregistrez les modifications et redémarrez la Bbox
Sauvegardez les modifications,
Redémarrez votre Bbox et les appareils connectés pour appliquer les nouveaux paramètres DNS.
Vérifier que DNS4EU est bien activé
Pour s’assurer que la Bbox utilise DNS4EU, réalisez un test simple :
La réponse doit indiquer l’adresse d’un serveur DNS4EU (51.81.216.60 ou 51.81.216.70).
Ariovis, votre partenaire pour une cybersécurité renforcée
Modifier vos serveurs DNS est une première étape pour mieux protéger votre réseau domestique. Chez Ariovis, nous accompagnons particuliers et entreprises dans la sécurisation de leurs infrastructures et la gestion des accès (IAM).
Pour toute question ou accompagnement personnalisé, contactez-nous ou visitez notre site ariovis.fr.
Conclusion
Installer DNS4EU sur votre Bbox est un moyen simple et efficace d’améliorer la confidentialité et la sécurité de votre navigation internet. Suivez notre guide Ariovis pour une installation réussie et naviguez en toute confiance grâce à un DNS européen dédié à la protection de vos données.
Information importante ⚠️ Cet article a été publié à une date antérieure et certaines informations peuvent avoir évolué. Nous vous recommandons de consulter notre version mise à jour ici.
Vous êtes utilisateur Freebox et vous souhaitez renforcer la sécurité et la confidentialité de votre navigation internet ? Installer DNS4EU sur votre Freebox est une excellente solution. Chez Ariovis, spécialistes en cybersécurité et gestion des accès, nous vous expliquons pas à pas comment configurer votre Freebox pour utiliser les serveurs DNS4EU, une alternative européenne sécurisée et respectueuse de la vie privée.
Pourquoi choisir DNS4EU sur sa Freebox ?
Les serveurs DNS jouent un rôle clé dans votre navigation : ils traduisent les noms de domaine (ex. ariovis.fr) en adresses IP que votre ordinateur comprend. Par défaut, la Freebox utilise les DNS de Free, mais ceux-ci ne garantissent pas toujours une confidentialité optimale.
DNS4EU est un service DNS européen soutenu par la Commission européenne, conçu pour :
Protéger vos données personnelles,
Assurer une navigation sécurisée,
Offrir des performances fiables grâce à une infrastructure européenne.
Changer les DNS de votre Freebox pour DNS4EU est donc un moyen simple d’améliorer votre cybersécurité au quotidien.
Installer DNS4EU sur votre Freebox : étapes détaillées
Voici la méthode recommandée par nos experts Ariovis pour configurer DNS4EU sur votre Freebox, en quelques minutes.
1. Connectez-vous à l’interface de gestion Freebox
Pour commencer, assurez-vous d’être connecté à votre réseau Freebox. Ouvrez un navigateur et rendez-vous à l’adresse :
http://mafreebox.freebox.fr
Identifiez-vous avec votre mot de passe Freebox. Si vous ne l’avez jamais changé, il est indiqué sur votre Freebox Révolution (écran tactile) ou sur votre contrat.
2. Accédez aux paramètres réseau et DNS
Une fois connecté :
Cliquez sur Paramètres de la Freebox,
Puis ouvrez la section Gestion des ports et réseau local ou directement DHCP selon votre version,
Recherchez la configuration des serveurs DNS.
3. Configurez les serveurs DNS4EU sur votre Freebox
Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre Freebox :
Dans l’interface Freebox, rendez-vous dans Paramètres avancés > Réseau.
Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
Enregistrez les modifications, puis redémarrez votre Freebox et vos appareils pour appliquer les nouveaux réglages.
Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (Freebox 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.
4. Sauvegardez et redémarrez
Enregistrez vos modifications. Pour que les changements soient bien pris en compte, redémarrez votre Freebox ainsi que vos appareils connectés (ordinateurs, smartphones, etc.).
Vérification et test de la configuration DNS4EU
Pour vérifier que la Freebox utilise bien DNS4EU, vous pouvez effectuer un test simple :
Si le serveur DNS affiché correspond à l’une des adresses DNS4EU (51.81.216.60 ou 51.81.216.70), la configuration est réussie.
Ariovis, votre partenaire cybersécurité pour une navigation plus sûre
Changer vos serveurs DNS est une première étape importante pour renforcer la sécurité de votre réseau domestique. Chez Ariovis, nous accompagnons les particuliers et les entreprises dans leurs projets de cybersécurité, notamment dans la gestion des accès (IAM) et la sécurisation des infrastructures réseau.
Pour aller plus loin dans la protection de votre environnement numérique, n’hésitez pas à nous contacter ou visiter notre site ariovis.fr pour découvrir nos solutions et conseils.
Conclusion
Installer DNS4EU sur votre Freebox est une démarche simple et efficace pour améliorer la confidentialité et la sécurité de votre navigation. Suivez notre guide Ariovis pour une installation réussie, et profitez d’un internet plus sûr grâce à un service DNS européen.
Si vous souhaitez en savoir plus sur la cybersécurité ou recevoir des conseils personnalisés, Ariovis est là pour vous accompagner.
⚠️ Cet article a été publié à une date antérieure et certaines informations peuvent avoir évolué. Nous vous recommandons de consulter notre version mise à jour ici.
Vous êtes client Orange et souhaitez renforcer la sécurité et la confidentialité de votre connexion internet ? Installer DNS4EU sur votre Livebox est une démarche simple et efficace pour protéger votre navigation. Chez Ariovis, experts en cybersécurité et gestion des accès (IAM), nous vous expliquons comment configurer DNS4EU sur votre Livebox.
Pourquoi configurer DNS4EU sur votre Livebox ?
Le serveur DNS est un élément fondamental qui traduit les noms de domaine en adresses IP. Par défaut, la Livebox utilise les serveurs DNS d’Orange, qui ne garantissent pas toujours une confidentialité optimale.
DNS4EU, un service DNS européen soutenu par la Commission européenne, offre :
Une meilleure protection des données personnelles,
Une navigation sécurisée,
Une infrastructure DNS européenne fiable et performante.
Configurer DNS4EU sur votre Livebox vous permet de naviguer en toute sécurité avec un service DNS respectueux de la vie privée.
Comment installer DNS4EU sur votre Livebox ?
Voici les étapes recommandées par les experts Ariovis pour configurer DNS4EU sur votre Livebox.
1. Accédez à l’interface de gestion Livebox
Connectez-vous à votre réseau Livebox (Wi-Fi ou Ethernet).
Ouvrez un navigateur et rendez-vous à l’adresse :
http://192.168.1.1
Connectez-vous avec vos identifiants (le mot de passe par défaut se trouve sur l’étiquette de votre Livebox).
2. Accédez aux paramètres DNS
Dans le menu principal, cliquez sur Paramètres avancés,
Puis rendez-vous dans la section Réseau ou Configuration DNS.
3. Configurez les serveurs DNS4EU sur votre Livebox
Voici les 5 adresses officielles DNS4EU que vous pouvez définir sur votre Livebox :
Dans l’interface Livebox, rendez-vous dans Paramètres avancés > Réseau.
Repérez la zone Serveurs DNS, puis remplacez les serveurs actuels par les 5 adresses ci-dessus.
Enregistrez les modifications, puis redémarrez votre Livebox et vos appareils pour appliquer les nouveaux réglages.
Ces cinq serveurs (deux en IPv4, trois en IPv6) vous garantissent une connexion plus stable, plus sécurisée et entièrement conforme aux standards européens en matière de confidentialité. Si vous avez besoin d’un guide adapté à votre modèle (Livebox 4, 5, 6…), notre tutoriel complet reste là pour vous accompagner à chaque étape.
4. Enregistrez et redémarrez
Enregistrez les modifications,
Redémarrez votre Livebox ainsi que vos appareils connectés pour appliquer les nouveaux paramètres DNS.
Vérifier que DNS4EU est actif sur votre Livebox
Pour vérifier que DNS4EU est bien utilisé :
Sur Windows, ouvrez l’invite de commande et tapez : https://ariovis.fr
Sur macOS ou Linux, dans le terminal, tapez : https://ariovis.fr
La réponse doit indiquer un serveur DNS correspondant à DNS4EU (51.81.216.60 ou 51.81.216.70).
Ariovis, votre expert en cybersécurité et gestion des accès
Configurer DNS4EU est une première étape pour sécuriser votre réseau domestique. Chez Ariovis, nous accompagnons particuliers et entreprises dans leurs projets de cybersécurité et gestion des accès (IAM).
Pour un accompagnement personnalisé, contactez-nous ou consultez notre site ariovis.fr.
Conclusion
Installer DNS4EU sur votre Livebox est un moyen simple et efficace pour renforcer la confidentialité et la sécurité de votre navigation internet. Suivez ce guide Ariovis pour une installation facile et profitez d’un DNS européen qui protège vos données.
OpenID Connect est une couche d’identité construite par-dessus le protocole OAuth 2.0. Elle permet aux applications de vérifier l’identité des utilisateurs en se basant sur une authentification effectuée par un fournisseur externe. Cela est particulièrement utile lorsqu’on souhaite sécuriser des applications sans avoir à gérer soi-même les identifiants des utilisateurs. Keycloak est une solution open source de gestion des identités et des accès (IAM) qui facilite la mise en place d’un fournisseur OpenID Connect robuste.
Dans cet article, nous allons expliquer comment connecter votre propre application Python Flask à n’importe quel fournisseur OpenID Connect, ainsi que comment configurer le vôtre avec Keycloak. Vous allez configurer un serveur Keycloak, enregistrer un client OIDC, et construire une application Flask simple qui authentifie les utilisateurs via Keycloak en utilisant des protocoles standards de l’industrie.
À la fin de ce guide, vous aurez :
Une instance fonctionnelle de Keycloak exécutée dans Docker
Une application Flask sécurisée avec OpenID Connect
Un flux complet de connexion et de déconnexion
Une architecture de projet Flask structurée et évolutive
Cette configuration est idéale pour les développeurs souhaitant ajouter une authentification à leurs applications web Python en s’appuyant sur des standards modernes de gestion d’identité.
Pré-requis
Avant de commencer, voici les prérequis de base pour utiliser ce guide :
Avec ces deux outils en main, nous pouvons démarrer notre projet en toute sérénité.
Comprendre ce qu’est OpenID Connect
Si vous êtes déjà familier avec OpenID Connect, vous pouvez passer cette section. Si ce n’est pas le cas, ou si vous souhaitez un rappel du concept, cette partie vous offrira un aperçu rapide de son fonctionnement, de son utilité, et du rôle qu’il joue dans la sécurisation de votre application.
OpenID Connect est donc construit sur le protocole ouvert OAuth2. C’est une norme web mondialement adoptée et utilisée par des acteurs technologiques majeurs tels que Google, Microsoft et Apple. Elle permet la vérification de l’identité des utilisateurs en s’appuyant sur les services d’identité et d’authentification d’un fournisseur externe.
Cette approche élimine le besoin d’une base de données d’utilisateurs dédiée, simplifiant la manière dont vous implémentez l’authentification et l’autorisation dans vos applications.
Entièrement interopérable, OpenID Connect fonctionne via une interface HTTP RESTful avec un formatage JSON. Il y a de fortes chances que vous utilisiez déjà cette norme quotidiennement : chaque fois que vous cliquez sur un bouton « Se connecter avec Google » au lieu de saisir des identifiants distincts, vous utilisez OpenID Connect.
Maintenant, si vous n’êtes pas non plus familier avec le protocole OAuth2, voici le flux d’informations détaillé qui se produit lorsque vous utilisez OpenID Connect.
Lorsque vous vous connectez à un service via OpenID Connect, la première étape vous redirige vers le fournisseur d’identité (par exemple, Google, Microsoft, Apple) pour que vous puissiez vous authentifier avec votre compte. Une fois votre identité vérifiée, ce fournisseur vous fournit en retour un code d’autorisation. Votre service utilise ensuite ce code pour l’échanger contre un jeton d’identité (ID Token) auprès du fournisseur. Ce jeton représente votre identité vérifiée.
Désormais, chaque fois que le service a besoin d’informations sur votre profil, il interroge le fournisseur d’identité en utilisant ce jeton. Le fournisseur renvoie alors les informations nécessaires, et le service vous donne accès aux ressources appropriées en fonction de votre identité.
Ce processus est connu sous le nom de flux de code d’autorisation (Authorization Code Flow) d’OpenID Connect. Grâce à cette conception, le jeton d’identité n’est jamais directement exposé côté client (le « frontend »), ce qui réduit considérablement les risques d’attaques et de vols d’identité.
Qu’est ce que Keycloak ?
Keycloak est une solution de gestion des identités et des accès entièrement open-source qui offre un support tout-en-un pour l’authentification et l’autorisation. Conçu pour la flexibilité, il permet aux développeurs de sécuriser leurs applications avec un effort minimal, en proposant des fonctionnalités prêtes à l’emploi comme le single sign-on (SSO), la connexion via les réseaux sociaux et la gestion des utilisateurs.
Toutes les configurations se feront via cette console d’administration, donc aucune compétence spécialisée n’est requise pour l’utiliser.
Configurez Keycloak
La première étape de ce guide est la configuration de Keycloak. Pour cela, nous utiliserons Docker car cela facilite l’étape d’installation.
Pour fonctionner, Keycloak a besoin de stocker ses données dans une base de données. Pour cet article, nous utiliserons Postgres, mais vous pouvez utiliser n’importe quelle base de données de la liste suivante :
Cliquez sur l’image pour l’agrandir
Pour orchestrer toute la configuration, nous utiliserons le fichier docker-compose.yaml suivant :
Cliquez sur l’image pour l’agrandir
Ce fichier est la configuration de votre environnement Keycloak et Postgres. Assurez-vous de modifier les paramètres d’utilisateur et de mot de passe selon vos préférences.
Exécutez la commande suivante pour lancer une instance basique de Keycloak sur votre machine :
docker-compose up
Une fois que le conteneur est entièrement démarré, vous pouvez accéder à la console d’administration à l’adresse suivante : http://localhost:8080. Vous pouvez vous connecter à la console d’administration et devriez arriver sur cette page :
Cliquez sur l’image pour l’agrandir
Depuis cette console, vous pouvez administrer toutes vos connexions, vos utilisateurs, vos clients, et bien plus encore…
Nous allons d’abord créer un « realm » pour notre application. Pour cela, vous pouvez cliquer sur la liste des realms en haut à gauche. Comme nous n’avons pas de configuration existante, nous allons simplement en créer un vide. Pour cet article, je le nommerai demo-openid-connect.
Dans Keycloak, un « realm » est comme un conteneur qui regroupe tous les utilisateurs, applications et paramètres pour un projet ou un environnement spécifique.
Cliquez sur l’image pour l’agrandir
L’étape suivante consiste à configurer un client OpenID que Python utilisera pour se connecter à Keycloak. Dans votre nouveau « realm » créé, allez dans « Clients » et créez-en un nouveau.
Cliquez sur l’image pour l’agrandir
Vous devrez configurer les paramètres suivants :
Type de client : OpenID Connect Vous avez le choix entre SAML et OpenID Connect ; dans cet article, nous nous concentrerons sur OpenID Connect.
ID client : 7f3c2e10-8c1a-4c71-89f2-f0bb72e536f4 C’est l’ID de votre client, il sera nécessaire plus tard pour s’y connecter. Vous pouvez choisir n’importe quoi ; pour cet exemple, j’ai choisi un UUID aléatoire.
Nom : open-id-client Le nom de votre client. Il sert uniquement à identifier votre client sur Keycloak, vous pouvez choisir n’importe quoi.
Authentification client : activer (basculer sur true) Permet d’autoriser le flux OpenID sur ce client.
URL racine : http://localhost:8081 L’URL racine de votre application. Pour cet exemple, nous utiliserons une instance locale sur le port 8081.
URL de la page d’accueil : / La page d’accueil de l’application. Puisque notre application sera à l’URL racine, nous mettrons simplement /. Si vous souhaitez l’exécuter sous un chemin spécifique, vous pouvez le modifier.
URL de redirection valides : * Pour cet exemple, nous autoriserons n’importe quelle URL de notre domaine à servir de redirection depuis notre client. En production, vous devriez la remplacer par une URL plus spécifique pour restreindre votre client à votre seule application.
Enfin, vous devrez configurer un secret pour votre client. Pour cela, allez dans l’onglet « Credentials » (Identifiants) et copiez-le. Il devrait ressembler à ceci : 961jZtg26dDrLcUacShPyYRvUEAhQEA4.
Ce secret est la preuve que votre application utilisera pour s’authentifier auprès de Keycloak. Vous devez faire attention à ne pas le partager et à le sauvegarder dans un endroit inaccessible, comme un gestionnaire de secrets ou un fichier d’environnement.
Cliquez sur l’image pour l’agrandir
Vous pouvez aussi configurer des rôles personnalisés pour votre application si vous en avez besoin :
Cliquez sur l’image pour l’agrandir
Passage à Python
Notre Keycloak est maintenant prêt à être utilisé par notre application Python. Nous allons maintenant construire notre application Python. Pour cela, nous utiliserons Flask, mais sachez que vous pouvez utiliser n’importe quel autre serveur HTTP.
Qu’est-ce que Flask ?
Flask est un framework web minimaliste écrit en Python. Il vous permet de lancer rapidement un serveur web et d’exposer des points d’accès (endpoints) pour votre application. Il est léger, simple à utiliser et bien adapté à la création d’API REST ou de petits services web.
Voici un exemple basique d’une application Flask :
Cliquez sur l’image pour l’agrandir
Dans cet exemple, nous lançons un serveur web et créons un point d’accès (endpoint) sur le chemin /. Pour exécuter cette application, il suffit de l’enregistrer dans un fichier (par exemple, app.py) et de l’exécuter avec Python :
python -m pip install Flask
python app.py
Vous pouvez maintenant vous rendre sur votre navigateur web à l’adresse http://localhost/. Vous devriez y voir le texte « Hello, world! ».
C’est tout ! Vous avez construit un petit serveur web. Nous pouvons maintenant commencer à créer notre application.
La puissance de Flask réside dans sa capacité à rendre des templates HTML et à y injecter vos propres données. Nous allons légèrement modifier notre script pour faire un exemple basique, mais d’abord, nous devrons organiser un peu notre projet.
Si vous avez suivi toutes les étapes, vous devriez avoir quelque chose comme ceci :
Cliquez sur l’image pour l’agrandir
La structure recommandée que nous utiliserons pour un projet Flask est la suivante :
Cliquez sur l’image pour l’agrandir
Description :
App : Ce dossier est la racine de votre projet. Tout ce qui est lié à Flask y sera placé.
__init__.py : Cette convention de nom de fichier de Python nous permet d’utiliser les chemins de dossiers directement comme chemins pour les fichiers Python qu’ils contiennent, comme cela fonctionnerait avec index.html sur le web. Celui qui se trouve à la racine contiendra la configuration de votre application Flask.
routes.py : Ce fichier contiendra tous les points d’accès (endpoints) du dossier et implémentera la logique associée. Dans des projets plus importants, vous pourriez placer la logique dans un fichier services.py dédié.
config.py : Ce fichier contiendra la configuration de votre application Flask et importera vos variables d’environnement.
Extensions : Ce dossier contiendra tous les scripts Python dont vous avez besoin dans votre application et qui ne sont pas directement liés à Flask, comme une connexion à une base de données par exemple.
Main : Ce dossier contient tous les points d’accès principaux de notre application.
Templates : Ce dossier contient tous les fichiers HTML qui seront utilisés par Flask et nécessiteront une injection de données.
Static : Ce dossier contient toutes les données statiques de notre projet, telles que les images, les feuilles de style CSS, les scripts, et plus encore.
Pour exécuter notre application, nous allons maintenant utiliser la commande suivante :
flask –app app run –debug –port=8081
Le contenu de chaque fichier ressemblera à ceci :
app/__init__.py
Cliquez sur l’image pour l’agrandir
config.py
Cliquez sur l’image pour l’agrandir
app/main/__init__.py
Cliquez sur l’image pour l’agrandir
app/main/routes.py
Cliquez sur l’image pour l’agrandir
app/template/index.html
Cliquez sur l’image pour l’agrandir
app/base/base.html
Cliquez sur l’image pour l’agrandir
Il y a beaucoup de nouveaux concepts ici :
Premièrement, les Blueprints. Dans Flask, vous pouvez créer des Blueprints pour regrouper vos points d’accès (endpoints). Chaque dossier contenant des routes représentera un Blueprint dans notre projet. Pour l’instant, nous n’avons besoin que du Blueprint principal.
Deuxièmement, les Templates. Comme mentionné précédemment, vous pouvez utiliser des templates dans Flask, créés à partir de HTML et de Jinja2. Pour en savoir plus, vous pouvez consulter la documentation de Flask. Dans ce projet, nous avons deux fichiers HTML :
base.html : Il contiendra tout ce que nous voulons partager entre nos pages, comme l’importation de Tailwind dans notre cas.
index.html : Il contiendra le contenu de la page d’accueil de notre application.
Pour lancer votre application nouvellement créée, vous pouvez utiliser la commande suivante :
flask —app app run —debug
Vous pouvez voir le résultat de votre application à l’adresse http://localhost:8081/.
Cliquez sur l’image pour l’agrandir
Maintenant que vous êtes familiarisé avec Flask et l’organisation de projet, nous allons commencer à développer le connecteur OIDC pour Keycloak !
Implémenter OIDC avec Flask
Nous allons maintenant implémenter OpenID Connect dans notre application. Pour cela, nous utiliserons la bibliothèque Python oic.
Tout d’abord, nous allons placer nos variables d’environnement dans notre configuration. Pour cela, vous devrez ajouter ce qui suit à votre fichier config.py.
Cliquez sur l’image pour l’agrandir
.env
Cliquez sur l’image pour l’agrandir
Remplacez les variables appropriées par vos propres données. AUTHORITY représente l’URL de base de votre serveur Keycloak OpenID. REDIRECT_URI représente le point d’accès que nous utiliserons à l’avenir pour notre flux OpenID Connect.
La classe d’identité
Pour réutiliser facilement notre script d’identité qui gérera la logique OpenID, nous allons créer une classe statique.
Voici la base de notre classe :
app/extentions/identity.py
Cliquez sur l’image pour l’agrandir
Cette classe définit un client OpenID et le configure avec notre environnement. Les méthodes provider_config et store_registration_info fourniront les informations nécessaires à notre client pour récupérer toutes les données dont il a besoin afin de connaître les URL des points d’accès de notre Keycloak.
Nous allons maintenant implémenter chaque étape du flux OIDC :
1. Obtenir l’URL de connexion
Pour se connecter, l’utilisateur devra construire une URL contenant toutes les informations sur la requête de connexion. Cette URL est spécifique à chaque connexion et doit fournir à Keycloak :
L’URL de redirection de la requête
La méthode d’authentification et le type de réponse
Les scopes auxquels l’utilisateur souhaite accéder
Un état (state) et un nonce, deux chaînes aléatoires pour identifier la requête
Pour cela, nous utiliserons la puissance de la bibliothèque oic, ce qui rendra cette tâche beaucoup plus rapide.
app/extensions/identity.py
Cliquez sur l’image pour l’agrandir
2. Obtenir le jeton d’authentification
L’étape suivante du flux OpenID Connect consiste à récupérer le jeton de l’utilisateur auprès du fournisseur. Pour cela, nous allons une fois de plus utiliser la bibliothèque oic. Cette fois, nous n’avons qu’à envoyer les informations suivantes au fournisseur :
Le code fourni par l’utilisateur, preuve de son authentification auprès du fournisseur.
L’URL de redirection depuis laquelle le serveur a récupéré le code.
app/extensions/identity.py
Cliquez sur l’image pour l’agrandir
Dans cette fonction, nous allons faire une requête au fournisseur avec toutes les informations fournies par notre client. Nous devons créer le Grant et l’ajouter nous-mêmes au client pour que la requête soit réussie. Ce jeton récupéré sera la preuve d’identité de notre utilisateur.
Nous avons maintenant tout ce dont nous avons besoin pour commencer à implémenter nos points d’accès (endpoints) et tester notre OIDC.
3. Tester le flux d’authentification
Pour cela, nous allons créer des routes dédiées dans un nouveau dossier avec les deux fichiers suivants :
app/auth/__init__.py
Cliquez sur l’image pour l’agrandir
app/auth/routes.py
Cliquez sur l’image pour l’agrandir
Dans ce code, nous définissons deux points d’accès (endpoints) qui seront utilisés par nos clients pour suivre le flux d’identification. Le premier redirigera notre client vers le fournisseur avec les informations appropriées. Le second récupérera le jeton depuis le rappel (callback) du fournisseur.
Juste avant de tester notre programme, nous avons besoin de deux petites mises à jour de notre application :
Premièrement, nous devons ajouter notre nouveau Blueprint à notre application.
app/__init__.py
Cliquez sur l’image pour l’agrandir
Ensuite, nous devons ajouter des paramètres à notre configuration pour utiliser les sessions Flask.
config.py
Cliquez sur l’image pour l’agrandir
Vous devrez également installer Flask-Session comme dépendance. Vous pouvez utiliser la commande suivante :
pip install Flask-Session
En vous rendant sur http://localhost:8081/auth/login, vous devriez être redirigé vers votre Keycloak et voir ceci :
Cliquez sur l’image pour l’agrandir
Pour finaliser notre test, nous devrons ajouter un utilisateur dans la console Keycloak. Allez dans l’onglet « Utilisateurs » et ajoutez-en un :
Cliquez sur l’image pour l’agrandir
Vous devrez également définir un mot de passe depuis l’interface. Pour cela, allez dans l’onglet « Credentials »(Identifiants). Retournez ensuite à votre application et connectez-vous avec votre utilisateur. Si tout s’est bien passé, vous devriez être redirigé vers votre page d’accueil.
Cliquez sur l’image pour l’agrandir
Si vous tentez de saisir des informations différentes de celles précédemment utilisées, vous remarquerez que rien ne change. Le flux de connexion a fonctionné, mais nous n’accédons pas encore aux informations de l’utilisateur. Ce sera la dernière étape de notre guide. Si vous êtes curieux, vous pouvez ouvrir la console de développement de votre navigateur et constater qu’un cookie de session a été créé par notre flux d’authentification. Pour des raisons de sécurité, nous avons choisi de masquer le véritable jeton d’accès au client et de ne lui donner qu’une référence aux données. Cela permet d’éviter les attaques telles que le vol de jetons via une vulnérabilité XSS dans votre application.
4. Obtenir les informations de l’utilisateur
Tout ce dont nous avons besoin maintenant est de pouvoir récupérer les informations de notre utilisateur lorsqu’il est connecté à notre application. Pour cela, nous pouvons appeler le point d’accès des informations utilisateur de notre fournisseur avec la méthode do_user_info_request de notre client oic. Le code ressemblera à ceci :
app/extensions/identity.py
Cliquez sur l’image pour l’agrandir
Pour utiliser cette méthode, nous devons fournir le jeton à la requête. Pour cela, nous avons choisi d’utiliser une propriété qui tentera d’obtenir l’access_token à partir de la session. Puisque nous utilisons cette classe uniquement avec des méthodes statiques, nous devrons définir une propriété statique.
app/extensions/identity.py
Cliquez sur l’image pour l’agrandir
À chaque fois que nous accédons à notre access_token, le script tentera de récupérer le jeton de la session ou ne retournera rien.
Nous pouvons maintenant mettre à jour notre page d’accueil pour afficher les informations de notre utilisateur :
app/main/routes.py
Cliquez sur l’image pour l’agrandir
app/templates/index.html
Cliquez sur l’image pour l’agrandir
Et voilà ! L’application affiche enfin correctement les informations de notre utilisateur. 🥳
Cliquez sur l’image pour l’agrandir
Pour aller plus loin
Bien que nous ayons terminé notre flux d’authentification, vous souhaiterez peut-être ajouter des fonctionnalités supplémentaires telles que la déconnexion ou la protection des points d’accès (endpoints) par authentification.
Pour cela, nous ajouterons ce qui suit à notre classe Identity :
app/extenstions/identity.py
Cliquez sur l’image pour l’agrandir
Ce code utilisera la bibliothèque oic pour terminer la session sur Keycloak et videra la session côté client. Vous pouvez maintenant appeler cette fonction dans votre code ou créer un point d’accès (endpoint) dédié comme ceci :
app/auth/routes.py
Cliquez sur l’image pour l’agrandir
Pour la deuxième partie, la meilleure façon de sécuriser facilement n’importe quel point d’accès (endpoint) est d’écrire un décorateur qui effectuera toutes les vérifications pour vous :
app/extensions/identity.py
Cliquez sur l’image pour l’agrandir
Il vous suffira d’apposer ce décorateur sur n’importe quelle route que vous souhaitez protéger, et elle sera inaccessible au client s’il ne s’est pas connecté au préalable. Il ajoutera également les informations de l’utilisateur comme paramètre optionnel à votre fonction lors de l’appel. De cette façon, vous pourrez récupérer directement les informations de l’utilisateur sans avoir à appeler vous-même la fonction get_user_info. Exemple :
En suivant ce tutoriel, vous avez réussi à configurer Keycloak comme fournisseur OpenID Connect et à l’intégrer à une application Python Flask. Vous avez créé un flux d’authentification sécurisé, récupéré les informations de l’utilisateur et ajouté une fonctionnalité de déconnexion. Vous avez également appris à structurer une application Flask pour l’évolutivité et la maintenabilité.
Pour les environnements de production, n’oubliez pas de :
Sécuriser correctement les secrets et les sessions
Activer HTTPS
Utiliser une validation stricte des URI de redirection
Implémenter la gestion de l’expiration et du rafraîchissement des jetons
Avec ces bases en place, vous êtes prêt à étendre votre application avec des API protégées, un contrôle d’accès basé sur les rôles, et bien plus encore. 🚀
