Désactiver les informations d’identification du mot de passe du propriétaire de ressource (ROPC) dans les attributions de jetons OAuth 2 [Nouveau dans Security Center 7.0]

  • Rversion finale: Zurich
  • Mis à jour 31 juil. 2025
  • 1 minute de lecture

    • Empêchez les informations d’identification du mot de passe du propriétaire de ressource (ROPC) d’accorder des jetons OAuth 2.

    Par défaut, les informations d’identification du mot de passe du propriétaire de ressource (ROPC) sont autorisées à accorder des jetons OAuth 2 sur vos instances lorsqu’une application cliente demande directement un jeton d’accès à l’aide d’un nom d’utilisateur et d’un mot de passe. Lorsque la glide.oauth.inbound.ropc.grant_type.disabled valeur est définie sur vrai, ROPC est inactif et ne peut pas être utilisé pour accorder des jetons OAuth 2.

    Assurez-vous que la glide.oauth.inbound.ropc.grant_type.disabled propriété système est définie sur true. Si la propriété n’existe pas dans la table Propriétés système [sys_properties], la valeur par défaut est faux. Si cette propriété existe sur cette table, elle est définie par défaut sur false.

    En savoir plus

    Attribut Description
    Nom de la configuration glide.oauth.inbound.ropc.grant_type.disabled
    Type de configuration Propriétés système (/sys_properties_list.do)
    Type de données Booléen
    Valeur recommandée vrai
    Valeur par défaut Faux
    Valeur de secours Faux
    Catégorie Authentification
    Risque de sécurité
    • Score de gravité : 3,3
    • Score CVSS : faible
    • Lorsque la propriété est définie sur faux, l’utilisation de ROPC pour accorder des jetons OAuth 2 est autorisée. Le ROPC est considéré comme moins sécurisé que les autres flux d’authentification, car les informations d’identification de l’utilisateur sont exposées à l’application. Cela peut entraîner des vulnérabilités dans des situations où le client est compromis et souffre de faiblesses similaires à celles de l’authentification de base. OAuth 2.1 a déconseillé ROPC.
    Impact fonctionnel

    Lorsque la propriété est définie sur vrai, ROPC est inactif et ne peut pas être utilisé pour accorder des jetons OAuth 2. Cela empêche toutes les applications d’accéder à la plateforme en accordant le jeton OAuth 2 à l’aide de ROPC.
    Dépendances et prérequis Le module d’extension OAuth 2.0 (com.snc.platform.security.oauth) doit être actif.

    Pour en savoir plus sur l’ajout ou la création d’une propriété système, reportez-vous à la section Add a system property.