8.2Données, applications, postesschéma 27

API — identité, autorisation, données

Les trois appelants passent par la passerelle ; l’API vérifie l’autorisation avant d’accéder aux données.

Faire défiler le schéma →

API — identité, autorisation, donnéesTrois appelants, application mobile, partenaire et agent d’IA, présentent leur jeton à la passerelle d’API, mise en avant, qui vérifie les clés du fournisseur d’identité (JWKS), hors du périmètre ; la passerelle transmet la requête à l’API métier, qui demande à l’autorisation métier, mise en avant, qui agit et sur quel objet, n’accède aux données clients que si l’appel est autorisé, trace chaque appel et ne sort que vers des destinations en liste blanche. APPELANTSPÉRIMÈTRE DE L’APIDONNÉES ET PREUVES CATALOGUEJWKSREQUÊTEQUI, QUOI ?SI AUTORISÉ API6Agent d’IAidentité propre, droits bornés API10Partenaire B2Bidentifiants client dédiés API2Application mobileclient public, code + PKCE API2Fournisseur d’identitéOIDC, jetons courts, audience API9Inventaire et contratsOpenAPI, version, retrait API4 · API8Passerelle d’APIjeton, schéma, quotas API7Appels sortantsdestinations en liste blanche ASVS V4 · V8API métierrefus par défaut API1 · API3 · API5Autorisation métierobjet, propriété, fonction ASVS V16Journal par appelsujet, objet, action, décision ASVS V14Données clientscloisonnées par client Qui appelle, sur quel objet, pour quelle action :l’authentification ne tranche que la première.LÉGENDEappelcontrat, catalogue, appel sortant, traceappelantdeux lieux de décision