Authentification utilisateur & Diagrammes d’activité des flux OAuth 2.0

Exemple 1 : Connexion standard avec nom d’utilisateur/mot de passe et MFA

Ce diagramme d’activité cartographie un flux complet de validation des identifiants, incluant le limitation du taux d’attaque par force brute et la vérification du jeton d’authentification multifacteur (MFA).

Concepts clés de modélisation :

• Partitions en nageoires : Séparation de l’interface utilisateur (application cliente), du backend API et de la base de données/fournisseur d’identité.
• Conditions de garde conditionnelles : Évaluation de la validité du mot de passe et de l’état de verrouillage du compte.

Code PlantUML :

@startuml
|Application cliente|
start
:Saisir le nom d'utilisateur et le mot de passe;
:Cliquer sur "Se connecter";

|API d'authentification|
:Valider le chargement de la requête;
si (Taux de requêtes dépassé ?) alors ([Oui])
  |Application cliente|
  :Afficher le message "Trop de requêtes";
  stop
sinon ([Non])
  |Base de données / Fournisseur d'identité|
  :Récupérer le compte et le hachage du mot de passe;
fin

|API d'authentification|
si (Mot de passe correspond ?) alors ([Non])
  :Augmenter le compteur d'essais échoués;
  |Application cliente|
  :Afficher l'erreur "Identifiants invalides";
  stop
sinon ([Oui])
  |API d'authentification|
  si (MFA activé ?) alors ([Oui])
    |Application cliente|
    :Demander un code MFA à 6 chiffres;
    :Soumettre le code MFA;
    |API d'authentification|
    si (Code MFA valide ?) alors ([Oui])
      :Générer les jetons de session;
    sinon ([Non])
      |Application cliente|
      :Afficher l'erreur "Code MFA invalide";
      stop
    fin
  sinon ([Non])
    |API d'authentification|
    :Générer les jetons de session;
  fin
fin

|Application cliente|
:Stockage sécurisé du JWT et redirection vers le tableau de bord;
stop
@enduml

Prompt pour chatbot IA :

« Générez un diagramme d’activité UML pour un processus de connexion utilisateur avec MFA. Utilisez des nageoires : Application cliente, API d’authentification et Base de données/Fournisseur d’identité. Vérifiez les limites de taux, vérifiez les hachages de mot de passe, et si le MFA est activé, demandez un code à 6 chiffres avant d’émettre les jetons de session. »

Exemple 2 : Flux d’autorisation OAuth 2.0 avec PKCE

L’accord d’autorisation OAuth 2.0 avec clé de preuve pour l’échange de code (PKCE) est la norme de l’industrie pour les applications monopage (SPAs) et les applications mobiles. Visualiser les défis de code et les échanges de jetons garantit une conformité complète du protocole.

Concepts clés de modélisation :

• Génération parallèle : Génération du code_verifier et code_challengeconcurrentément avant de lancer le navigateur.
• Autorisation entre domaines :Mappage des redirections entre le Client, le serveur d’autorisation et le serveur de ressources.

Code PlantUML :

@startuml
|Application Client (SPA)|
start
fork
  :Générer le vérificateur de code PKCE ;
fork again
  :Dériver le défi de code PKCE (SHA256) ;
end fork
:Rediriger le navigateur vers le serveur d'autorisation avec le défi ;

|Serveur d'autorisation|
:Demander à l'utilisateur de se connecter et d'accorder son consentement ;
|Utilisateur|
:Approuver les étendues et autoriser ;

|Serveur d'autorisation|
:Émettre un code d'autorisation à durée de vie courte ;
:Rediriger vers l'URI de redirection du client ;

|Application Client (SPA)|
:Extraire le code d'autorisation ;
:Envoyer le code + le vérificateur de code PKCE vers le point d'extrémité du jeton ;

|Serveur d'autorisation|
:Vérifier le vérificateur de code par rapport au défi de code ;
si (Vérification réussie ?) alors ([Oui])
  :Émettre un jeton d'accès et un jeton de rafraîchissement ;
  |Application Client (SPA)|
  :Stockage du jeton d'accès en mémoire ;
  :Récupérer le profil utilisateur protégé ;
sinon ([Échec])
  |Application Client (SPA)|
  :Afficher une erreur d'autorisation ;
fin si
stop
@enduml

Invite au chatbot IA :

« Créez un diagramme d’activité pour le flux de code d’autorisation OAuth 2.0 avec PKCE. Montrez la création parallèle du code_verifier et du code_challenge, la redirection vers le serveur d’autorisation, le consentement de l’utilisateur, le remboursement du code et la vérification du jeton. »

Exemple 3 : Validation du jeton JWT et flux de rafraîchissement silencieux

Gérer l’autorisation API de manière sécurisée exige de valider les jetons web JSON (JWT) à chaque demande et de renouveler silencieusement les jetons expirés via des jetons de rafraîchissement en arrière-plan, sans perturber l’expérience utilisateur.

Concepts clés de modélisation :

• Boucle de récupération asynchrone :Demander un nouveau jeton d’accès lorsque 401 Non autorisé une réponse est interceptée.
• Gestion de l’expiration de session :Vider le stockage local et rediriger vers la page de connexion lorsque le jeton de rafraîchissement lui-même expire.

Code PlantUML :

@startuml
|Application Client|
start
:Envoyer une requête API avec un jeton porteur ;

|Passerelle API|
:Inspecter l'en-tête d'autorisation ;
si (Jeton valide et non expiré ?) alors ([Valide])
  :Transférer la requête vers le microservice ;
  |Application Client|
  :Recevoir les données du payload API ;
  stop
sinon ([Expiré / 401])
  |Application Client|
  :Intercepter l'erreur 401 ;
  :Envoyer le jeton de rafraîchissement vers le point d'extrémité d'authentification ;
  
  |API d'authentification|
  si (Jeton de rafraîchissement valide ?) alors ([Oui])
    :Émettre un nouveau jeton d'accès ;
    |Application Client|
    :Mettre à jour le jeton d'accès en mémoire ;
    :Réessayer la requête API d'origine ;
    stop
  sinon ([Expiré / Révoqué])
    |Application Client|
    :Effacer les jetons stockés ;
    :Rediriger l'utilisateur vers l'écran de connexion ;
    stop
  fin si
fin si
@enduml

Invite au chatbot IA :

« Générez un diagramme d’activité montrant la validation du jeton JWT et le rafraîchissement silencieux. Si le jeton d’accès est valide, servez le payload API. Si expiré (401), tentez un rafraîchissement silencieux du jeton. Si le jeton de rafraîchissement est également expiré, videz le stockage local et redirigez vers l’écran de connexion. »

Ingénierie des invites pour les flux de sécurité et d’authentification

Lors de la modélisation des protocoles de sécurité avec un outil de diagramme d’activité IA, une formulation précise garantit que les frontières de sécurité formelles sont correctement mappées :

• Nommez les artefacts de sécurité exacts :Mentionnez explicitement les jetons, les codes de vérification et les hachages (par exemple, « jeton d’accès JWT », « code_challenge », « hachage bcrypt ») afin que l’IA étiquette correctement les nœuds.
• Définir les chemins heureux et les chemins malheureux : Spécifier explicitement les flux d’échec (par exemple, « Si l’authentification multifacteur échoue, afficher une erreur. Si la limite de taux est dépassée, renvoyer 429 Trop de demandes »).
• Spécifier les limites de confiance : Utilisez les voies de nage pour distinguer l’exécution côté client (navigateur/mobile non fiable) de l’exécution côté serveur (passerelle API/serveur de base de données fiable).

Connecter la génération par IA au diagramme en tant que code dans Visual Paradigm

Concevoir des architectures de sécurité nécessite une itération rapide associée à un contrôle de version rigoureux. Le Chatbot de diagrammation par IA dans Visual Paradigm offre un flux de travail complet du début à la fin :

• Génération de diagrammes d’authentification conversationnelle : Incitez l’outil UML par IA avec des protocoles de sécurité complexes, et obtenez du code PlantUML ou Mermaid syntaxiquement valide en quelques secondes.
• Éditer avec VPasCode : Exportez directement les diagrammes d’authentification générés dans VPasCode pour effectuer des ajustements.
• Procédures opérationnelles de sécurité dans OpenDocs : Intégrez des diagrammes d’activité dans OpenDocs pour créer des revues complètes des architectures de sécurité, des guides d’intégration pour développeurs et des documents d’audit SOC 2 / ISO 27001.
• Partage de session interactive : Partagez des URL de session de chat directes avec des développeurs pairs et des auditeurs de sécurité pour obtenir rapidement des retours collaboratifs.

Expérimentez la modélisation par IA conversationnelle sur le web via Édition Deluxe VP Online ou à l’intérieur de votre environnement IDE de bureau avec Édition Professionnelle VP Desktop.

Questions fréquemment posées

Pourquoi choisir les diagrammes d’activité UML plutôt que les diagrammes de séquence pour OAuth 2.0 ?

Alors que les diagrammes de séquence excellent à montrer le passage de messages ordonnés dans le temps entre les systèmes, les diagrammes d’activité sont supérieurs pour illustrer la logique de décision, les rafraîchissements conditionnels des jetons et les tâches concurrentes (comme la génération parallèle du hachage PKCE).

Puis-je exporter les diagrammes d’authentification générés pour les éditer dans VP Desktop ?

Oui. Les diagrammes générés par le chatbot de diagrammation par IA peuvent être ouverts et modifiés directement dans Visual Paradigm Desktop ou Visual Paradigm Online pour une amélioration visuelle ultérieure.

Le chatbot d’IA garantit-il des taux d’erreurs de syntaxe faibles pour les diagrammes de sécurité ?

Oui. Contrairement aux outils de chat d’IA génériques, Visual Paradigm utilise des modèles spécialisés et bien entraînés conçus spécifiquement pour générer une syntaxe de diagrammes UML et PlantUML valide avec des taux d’erreurs exceptionnellement faibles.