Nudge Security cartographie les accès OAuth en 15 secondes

Accès persistants Chaque clic sur « Allow » crée une relation de confiance durable entre deux applications. Un outil de prise de notes peut accéder au calendrier. Une application de gestion des tâches peut accéder à Slack. Un outil destiné aux développeurs peut atteindre des dépôts de code. Selon Nudge Security, une entreprise compte en moyenne 88 accès OAuth par salarié. Parmi eux, 31 disposent de permissions au niveau des données. Dans une organisation de 1 000 personnes, cela représente 88 000 chemins d’accès. Environ 31 000 peuvent atteindre directement des données sensibles. Ces chiffres proviennent de Nudge Security, citée dans l’article sponsorisé de BleepingComputer.

Contrôles séparés OAuth ne reprend pas automatiquement les contrôles liés à l’identité. L’authentification unique vérifie l’identité d’un utilisateur. L’authentification multifacteur ajoute une étape à cette vérification. Un accès OAuth constitue un mécanisme distinct. La désactivation d’un compte Google Workspace ou Microsoft 365 suspend seulement certains accès émis par cette plateforme. Des accès créés depuis des applications tierces peuvent continuer à fonctionner. Certains restent inactifs pendant plusieurs mois sans produire de journal d’activité. Ils demeurent toutefois valides. Nudge Security indique aussi que 40 applications accèdent en moyenne aux données sensibles d’une organisation par voie programmatique. Gartner prévoit que les jetons OAuth sur-privilégiés représenteront 50 % des compromissions SaaS en 2027.

Nudge Security inventorie les accès OAuth

Incident cité L’article cite la compromission de Vercel comme illustration du risque. Sa cause était un jeton OAuth compromis issu de Context.ai. Un salarié avait connecté cet outil d’intelligence artificielle à Google Workspace de son entreprise plusieurs mois auparavant. Un seul consentement avait alors suffi pour créer cet accès. La revue manuelle d’un accès OAuth examine plusieurs éléments. L’équipe vérifie le profil de l’application, le fournisseur et son programme de sécurité. Elle compare aussi les permissions avec l’usage attendu. Elle contrôle le rôle du créateur, ses droits d’administration et son statut d’authentification multifacteur. Selon Nudge Security, cette revue peut prendre 45 minutes pour un seul accès.

Analyse automatisée Nudge Security affirme fournir une visibilité sur les accès OAuth et les intégrations entre applications SaaS. Son inventaire inclut les accès anciens, les accès dormants et les fonctions « Sign in with Google ». La découverte ne dépend pas des journaux d’activité, selon l’entreprise. La plateforme recense également les clés d’API, les comptes de service et les connexions vers des serveurs MCP utilisés par des outils ou agents d’intelligence artificielle. Pour chaque accès, elle affiche l’application, le fournisseur, le salarié créateur, les permissions et les données accessibles. Elle classe ensuite les intégrations selon les permissions, le fournisseur, l’usage interne et la sensibilité des données atteintes.

L’agent propose trois verdicts

Décisions encadrées L’agent OAuth Grant Risk Analyst examine les nouveaux accès lorsqu’ils apparaissent. Il utilise des informations issues du navigateur, de la messagerie, du fournisseur d’identité et des applications connectées. Nudge Security indique également s’appuyer sur plus de 240 000 profils de sécurité de fournisseurs. L’analyse prend en compte le créateur, son rôle et ses données utilisateur. Elle examine le fournisseur, ses pratiques de sécurité, sa conformité et ses incidents récents. Elle compare les permissions accordées aux usages habituels. Elle évalue enfin la portée réelle de l’application dans l’organisation. L’agent délivre une synthèse, un raisonnement détaillé, les éléments manquants et un verdict.

Actions auditables Les trois verdicts proposés sont Permit, Justify et Revoke. Permit indique que l’accès présente un risque faible. Justify demande une vérification du besoin professionnel auprès du créateur. Revoke recommande la suppression lorsque le risque dépasse la valeur d’usage. Nudge Security précise que l’agent ne modifie pas directement les accès avant validation de l’équipe. Celle-ci examine la recommandation et les éléments associés. Après autorisation, l’agent peut orchestrer une révocation ou demander une justification au créateur. Les échanges peuvent passer par Slack, Teams, la messagerie électronique ou une extension de navigateur. La plateforme enregistre chaque action, avec son auteur, sa date et sa raison. L’entreprise affirme que l’agent produit une analyse en 15 secondes, contre 45 minutes manuellement.

Suivi continu Nudge Security propose des alertes sur les nouvelles activités OAuth. La plateforme peut aussi révoquer automatiquement des accès jugés risqués ou inutilisés. Cette révocation peut intervenir pendant le départ d’un salarié. L’entreprise présente ainsi un processus combinant inventaire, évaluation et validation humaine. Les salariés continuent de connecter des applications pour accéder à leurs outils de travail. Nudge Security recommande donc de rendre ces connexions visibles et de supprimer celles dont le risque dépasse la valeur. L’offre inclut la gestion du risque OAuth dans une solution de gouvernance de la sécurité SaaS et de l’intelligence artificielle. L’entreprise propose également un essai gratuit de 14 jours, selon l’article sponsorisé.