Que démontre la connexion ?
L’authentification concerne l’identité, l’autorisation les actions, et la session la continuité de l’accès. Cette distinction précise la mission.
NIST SP 800-63B-4 distingue l’authentification cryptographique résistante au phishing des codes à usage unique saisis manuellement. La robustesse de la connexion reste une question spécifique. [1]
Les droits après la connexion
Être connecté ne devrait pas donner accès à n’importe quelle facture ou fonction d’administration. OWASP conserve le contrôle d’accès défaillant comme catégorie des Top 10:2025.
Nous recommandons une matrice simple : rôle, objet, action permise et refus attendu. « Tester la connexion » est trop imprécis. [2]
Un cas fictif
Deux organisations clientes possèdent chacune un rôle de test ordinaire et un rôle administratif. La règle convenue limite les exports de factures à leur organisation.
Le résultat décrit les rôles, le comportement attendu, celui observé et la fonction concernée. Un défaut d’export n’est pas transformé en conclusion non étayée sur toute l’application.
Tester aussi la fin de l’accès
Nous proposons trois transitions : déconnexion, changement de rôle et suspension du compte. Définir pour chacune la session ou la fonction qui doit devenir inaccessible.
Le contre-test conserve les conditions initiales ou documente les différences. Un nouveau scénario ne doit pas être confondu avec une correction réussie.
Préparer des attentes explicites
Notre proposition de préparation :
- Identités de test aux rôles distincts
- Deux organisations de test si nécessaire
- Objets et fonctions autorisés
- Résultats attendus après déconnexion et suspension
- Critères d’acceptation du constat et du contre-test
À lire aussi
Sources et approfondissements
Sources primaires vérifiées le 26.09.2026.
Les sources et les limites sont indiquées dans l’article.