Vous êtes sur un nouveau site Web. Le formulaire d’inscription est long. Vous appuyez sur un bouton indiquant « Connectez-vous avec Google ». Ça marche. Vous êtes dedans.
Il s’agit de l’authentification unique (SSO).
Il s’agit de l’expérience par défaut du Web moderne. La plupart des plateformes le proposent. Facebook, Google, Apple, LinkedIn et même Twitter. Ils vous permettent tous de sauter l’étape de création du mot de passe. Mais devriez-vous le faire ?
La réponse n’est pas simple. Cela dépend de ce que vous appréciez le plus : la vitesse ou le contrôle.
Comment fonctionne réellement l’authentification unique
Lorsque vous cliquez sur ce bouton, vous ne vous contentez pas de vous connecter. Vous autorisez un transfert de données.
Le nouveau site demande à votre fournisseur de réseaux sociaux l’autorisation de partager des détails spécifiques. Habituellement, cela inclut votre nom et votre adresse e-mail. Parfois, il récupère votre photo de profil.
Dans certains cas, il extrait des données plus approfondies. Dates de naissance. Numéros de téléphone. Historique de localisation.
Qui décide de ce qui est partagé ? Cela se résume à deux politiques. La politique de l’application que vous rejoignez. Et la politique de votre compte social principal.
“Les petites applications et sites Web ont probablement moins de sécurité que les grands réseaux sociaux, donc renoncer à fournir un mot de passe et une adresse e-mail au profit d’une connexion sociale pourrait être une option plus sûre.” — Paul Bischoff, spécialiste de la confidentialité chez Comparitech
Avant de cliquer, recherchez une zone de texte. Il doit répertorier exactement les données exposées. Si vous ne le voyez pas, imaginez le pire.
Pourquoi vous devriez utiliser la connexion sociale
Le temps est le principal argument de vente.
Imaginez que vous remplissez dix formulaires différents. Nom. E-mail. Téléphone. Adresse. Anniversaire. C’est fastidieux. SSO ignore cela. Il extrait vos informations existantes et les transfère dans le nouveau compte.
Cela simplifie également la mémoire. Vous avez des centaines de comptes. De combien de mots de passe vous souvenez-vous réellement ? Le SSO agit comme une clé principale. Vous vous connectez une fois à Google. Vous pouvez accéder à des dizaines de services liés sans avoir à saisir à nouveau vos informations d’identification.
La sécurité est un autre facteur. Les sites Web plus petits ont souvent une sécurité faible. Les grandes entreprises technologiques disposent d’équipes de sécurité massives. Si une petite application vous demande votre mot de passe, vous lui confiez un secret. S’ils utilisent le SSO, vous leur confiez uniquement une clé API. Ils ne voient jamais votre véritable mot de passe social.
Il y a aussi des avantages fonctionnels. Dropbox peut extraire vos photos Facebook directement dans le stockage cloud. Zoom se synchronise avec votre agenda Google. Slack importe vos contacts.
Vous pouvez effectuer certaines de ces choses sans SSO. Mais le SSO les rend instantanés.
Les coûts cachés de la commodité
La commodité a un prix. Vous perdez le contrôle.
Lorsque vous créez un compte manuellement, vous décidez quoi partager. Avec SSO, l’application peut prendre ce qu’elle veut. Vous pourriez accepter de partager votre âge et vos intérêts simplement pour accéder à l’application.
Ces données ne sont pas uniquement destinées à l’application.
“L’utilisation d’un login social crée un réseau de sites qui détiennent un identifiant partagé sur vous. Cet identifiant peut être utilisé pour créer un profil publicitaire partagé basé sur votre activité sur chacun des sites.” — Dan Fritcher, CTO de Sysfi Cloud Services
Ce profil évolue avec le temps. Il suit vos mouvements sur le Web. Qui sait à quoi il servira dans cinq ans ?
Il y a aussi un problème de confiance. Les grandes marques ont des politiques de confidentialité. Les sites aléatoires ne le peuvent pas. Un site sans réputation pourrait prendre vos coordonnées et les vendre à des fraudeurs. Cela arrive.
Le SSO amplifie le risque si votre compte principal est compromis.
Si un pirate pirate votre mot de passe Google, il ne se contente pas de recevoir votre e-mail. Ils obtiennent tous les services liés à cette connexion. Une brèche. Beaucoup de pertes.
Les pannes de service sont un autre casse-tête. Si Facebook tombe en panne, toutes les applications utilisant la connexion Facebook se bloquent. Vous n’avez plus accès à vos propres comptes en raison d’une erreur du serveur d’entreprise.
Comment les principales plates-formes gèrent les données tierces
Tous les fournisseurs SSO ne sont pas égaux.
Google
Google propose des contrôles granulaires. Vous pouvez vérifier quelles applications ont accès à votre compte dans les paramètres de votre compte Google. Vous pouvez révoquer l’accès instantanément. Ils limitent généralement les données partagées à ce que l’application demande explicitement.
Facebook (méta)
Facebook a durci ses politiques après des scandales comme Cambridge Analytica. Les applications doivent passer par un processus d’examen rigoureux pour accéder aux données des utilisateurs. Vous pouvez voir exactement quelles autorisations une application a demandées. Meta vous permet de voir et de supprimer les applications connectées.
Pomme
La fonction « Connectez-vous avec Apple » d’Apple est conçue pour garantir la confidentialité. Il vous permet de masquer votre véritable adresse e-mail en utilisant un e-mail aléatoire et en transfert uniquement. Il vous donne également la possibilité de « Masquer mon e-mail ». Apple exige que les applications révèlent pourquoi elles ont besoin de données et offre aux utilisateurs des moyens simples de révoquer l’accès.
Twitter (X)
L’intégration de Twitter est moins transparente. Bien qu’il fournisse le SSO, l’étendue des capacités de partage de données et de suivi par des tiers peut être moins claire que celle d’Apple ou de Google. Les utilisateurs doivent examiner attentivement les écrans d’autorisation.
Le verdict
L’authentification unique est un outil. Ce n’est pas intrinsèquement bon ou mauvais.
C’est rapide. C’est pratique. Cela peut être plus sécurisé que d’utiliser un mot de passe faible sur un site peu fiable.
Mais cela crée un réseau de partage de données. Il donne aux applications plus d’informations que vous n’auriez l’intention de donner. Cela lie votre identité numérique à quelques sociétés géantes.
Si vous vous souciez de la vitesse, utilisez-la.
Si vous vous souciez de la vie privée, soyez prudent.
Vérifiez les autorisations. Lisez la politique de confidentialité. Révoquer l’accès lorsque vous n’avez plus besoin de l’application. Vos données méritent d’être protégées.
Lorsque vous cliquez sur « Connexion avec Facebook », vous ne vous contentez pas de remettre une clé. Vous ouvrez une porte sur l’ensemble de votre empreinte numérique. Les entreprises proposant l’authentification unique (SSO) ont des philosophies très différentes sur les données qu’il est « nécessaire » de partager avec des applications tierces. Certains traitent votre vie privée comme un coffre-fort. D’autres le traitent comme un babillard public.
Voici comment les grands acteurs traitent réellement vos informations lorsque vous les utilisez comme fournisseur d’identité.
Politique de partage de données de Facebook
La position par défaut de Facebook est agressive. Lors d’une initiation SSO, la plateforme fournit au tiers votre nom, votre adresse e-mail et votre photo de profil. Mais ce n’est que la pointe de l’iceberg.
La véritable exposition vient de la classification « profil public » de Facebook. Ce terme générique couvre tout ce qui sur votre profil n’est pas explicitement verrouillé. S’il est visible par vos amis, il est probablement visible par l’application. Nous parlons de l’âge, du sexe, de la date de naissance et de l’état relationnel. Cela s’étend aux détails familiaux, aux passe-temps et même aux appareils que vous utilisez.
Pire encore, Facebook peut servir votre ville natale, vos antécédents professionnels, votre formation, votre religion et vos tendances politiques. L’entreprise collecte de nombreuses données et est notoirement disposée à les partager avec des partenaires, un fait mis en évidence par les récents scandales et procès.
Cependant, vous n’êtes pas totalement impuissant. Les paramètres de confidentialité de Facebook vous permettent de signaler certains détails comme non publics. Si vous organisez soigneusement ce qui est public et privé, vous pouvez limiter l’hémorragie. Mais ce n’est pas le cas de la plupart des utilisateurs.
Politique de Google
Google adopte une approche plus segmentée. Au minimum, le géant de la technologie partage votre nom, votre adresse e-mail et votre photo de profil. C’est le coût d’entrée de base.
Mais les applications Google et les intégrations tierces tentent souvent d’en obtenir davantage. Ils peuvent tenter de récupérer des fichiers, des photos, des messages ou des événements de calendrier stockés dans votre Google Drive. Le piège ? Ils ne peuvent pas le faire par défaut. Ces services doivent spécifiquement demander des autorisations pour accéder à ces couches plus profondes de votre vie. Si vous refusez ces demandes, ils n’obtiennent rien. Il s’agit d’une frontière plus claire que le modèle de profil public tout ou rien de Facebook.
Politique de Twitter
Le processus SSO de Twitter est simple de par sa conception. Les applications enregistrées via Twitter bénéficient d’un accès en lecture seule à des points de données spécifiques : votre nom d’écran, votre photo de profil, votre biographie, votre emplacement général, votre langue préférée et votre fuseau horaire.
L’application peut également afficher vos analyses de tweet, ainsi que vos listes de followers, de muets et de blocage. Notamment, Twitter ne partage pas votre adresse e-mail lors de la connexion, sauf si l’application le demande explicitement et que vous accordez votre autorisation.
Cela fait de Twitter une option étonnamment respectueuse de la vie privée pour certains. Si votre graphe social est de toute façon principalement public, il existe des données « privées » moins sensibles qu’une application peut voler.
Politique d’Apple
Le processus SSO d’Apple se distingue par sa conception centrée sur l’utilisateur. Il est unique parmi les grands fournisseurs. Lorsque le registre démarre, Apple partage votre nom et votre adresse e-mail. Mais les utilisateurs ont le contrôle.
Vous pouvez modifier votre nom avant qu’il ne soit envoyé. Vous pouvez choisir de masquer entièrement votre e-mail. Apple générera ensuite une adresse factice qui renverra automatiquement les e-mails vers votre compte réel. Vous pourrez désactiver ce transfert ultérieurement si vous souhaitez couper les liens et éviter le spam.
L’authentification à deux facteurs est obligatoire. Apple affirme également qu’elle ne collecte aucune donnée sur votre interaction avec l’application. Cela crée un tampon entre votre identité et le tiers.
Apple semble être l’un des meilleurs services à utiliser en matière de SSO, car il donne aux utilisateurs le plus grand contrôle sur les données partagées.
Que faire à propos de l’authentification unique
Si vous envisagez d’utiliser l’authentification unique, vous devez savoir quelles informations sont transférées. Vous avez le choix entre des entreprises. Optez pour le service qui partage le moins de données.
Basé sur le partage de données et le contrôle des utilisateurs, Apple est sans doute le pari le plus sûr. Vous n’avez pas besoin d’un appareil Apple pour créer un identifiant Apple. Cela le rend accessible aux utilisateurs d’Android et de Windows qui souhaitent de meilleurs contrôles de confidentialité.
Certains experts préfèrent également Twitter. Bischoff, par exemple, note que, comme presque tout sur son compte Twitter est public, il n’y a pas beaucoup plus de données qu’une application peut glaner en se connectant à Twitter. Il s’agit d’une stratégie du « rien à cacher ». Mais toutes les applications n’offrent pas toutes les options de connexion. Vous êtes souvent limité à ce que le développeur a intégré.
Alternatives sécurisées au SSO
Il existe une meilleure façon de gérer l’accès sans renoncer à votre identité. Utilisez un gestionnaire de mots de passe dédié comme 1Password.
Ce programme stocke toutes vos données de connexion dans un dossier crypté. La seule façon d’y accéder est d’utiliser un “mot de passe principal” défini par vous. Cette clé principale est stockée localement et hors ligne. Il est pratiquement impossible pour les pirates d’obtenir ces données sans accès physique à votre ordinateur.
De nombreux navigateurs Web proposent également des gestionnaires de mots de passe intégrés. Ils utilisent leurs propres méthodes de cryptage, meilleures que le texte brut mais moins robustes qu’un outil tiers dédié.
Bases de sécurité
Renforcez votre sécurité sur les réseaux sociaux. Activez l’authentification à deux facteurs (2FA). Cela génère un mot de passe temporaire envoyé à votre adresse e-mail ou numéro de téléphone personnel.
Il s’agit de l’une des méthodes les plus rapides et les plus efficaces pour empêcher tout accès indésirable en ligne. Il protège également vos comptes d’authentification unique. Si quelqu’un vole votre mot de passe, il ne pourra toujours pas entrer sans ce deuxième facteur.
La pratique la plus sécurisée reste la création de mots de passe uniques pour chaque service que vous utilisez. C’est fastidieux. C’est ennuyeux. Mais ça marche. Utilisez un gestionnaire de mots de passe crypté pour les suivre tous. Arrêtez d’essayer de vous souvenir des choses. Commencez à les gérer.
