Sécurité
Les clés A et le secret du client restent sur votre serveur.
- Les clés A sont des secrets. Gardez-les sur le serveur du site, chiffrées au repos si possible. Elles ne doivent jamais apparaître dans un journal, sur un poste d'agent ni dans une capture d'écran. Effacez-les après l'événement.
- Le secret du client reste sur le serveur. Les portiques n'en ont pas besoin.
- Les réponses qui contiennent des clés sont marquées
Cache-Control: no-store: ne les mettez pas en cache intermédiaire. - Une décision ne transporte jamais de clé : seulement le résultat de l'authentification et les blocs lus.