Sécuriser un back-end avec OAuth 2.0 et OpenID Connect

Audio automatique activé : les prochaines questions seront lues quand vous cliquerez sur Continuer.

1. 1

   Dans le schéma, quel rôle OAuth 2.0 correspond au serveur central mis en évidence, chargé d’autoriser le client et d’émettre des jetons ?

   

   A Le serveur de ressources B Le serveur d’autorisation C Le propriétaire de la ressource
2. 2

   Dans un flux Authorization Code pour une application web avec back-end, que doit faire le serveur après avoir reçu le code d’autorisation ?

   

   A Échanger le code contre des jetons auprès du point de terminaison de jeton B Utiliser directement le code pour appeler l’API protégée C Conserver le code comme identifiant permanent de session
3. 3

   Quel risque PKCE réduit-il principalement dans le flux Authorization Code ?

   A Le vol d’un refresh token stocké dans la base de données de l’API B La modification des permissions contenues dans un jeton signé C L’utilisation d’un code d’autorisation intercepté par un tiers
4. 4

   Quel jeton OpenID Connect est destiné à informer le client de l’identité authentifiée de l’utilisateur ?

   A Le refresh token B L’ID token C Le code d’autorisation
5. 5

   Quelle est la fonction normale d’un refresh token ?

   A Obtenir un nouveau jeton d’accès sans refaire toute l’authentification B Remplacer la signature cryptographique d’un ID token C Transmettre les paramètres d’une requête à l’API
6. 6

   À quoi sert principalement le paramètre state dans une requête d’autorisation OAuth 2.0 ?

   A À définir l’algorithme de signature du jeton d’accès B À prolonger automatiquement la durée de vie du code C À corréler la réponse avec la requête initiale et à réduire le risque de CSRF
7. 7

   Le visuel présente plusieurs variantes d’une URI de retour. Quelle règle le serveur d’autorisation doit-il appliquer avant d’y envoyer un code ?

   

   A Accepter toute URI utilisant le même nom de domaine principal B Comparer strictement l’URI avec une valeur préenregistrée C Accepter l’URI dès lors qu’elle utilise le protocole HTTPS
8. 8

   Dans l’architecture illustrée, un service back-end doit appeler une API pour son propre compte, sans utilisateur. Quel type de flux convient le mieux ?

   

   A Le flux Client Credentials B Le flux Authorization Code avec consentement utilisateur C Le flux OpenID Connect avec ID token uniquement
9. 9

   Dans OpenID Connect, pourquoi le client vérifie-t-il la valeur nonce contenue dans l’ID token ?

   A Pour déterminer les scopes que l’API doit accorder B Pour calculer la date d’expiration du refresh token C Pour associer le jeton à la requête initiale et limiter les attaques par rejeu
10. 10

    Que permet à une API le point de terminaison d’introspection OAuth 2.0 ?

    A Créer une nouvelle paire de clés de signature pour le client B Vérifier l’état actif d’un jeton et obtenir ses métadonnées C Transformer automatiquement un ID token en refresh token