Se connecter avec Google, Apple ou Facebook : fonctionnement, avantages et risques

Les boutons « Continuer avec Google », « Se connecter avec Apple » ou « Se connecter avec Facebook » sont présents sur presque tous les sites. Ils évitent une inscription et un nouveau mot de passe. Faut-il s’en méfier, ou est-ce même plus sûr qu’un mot de passe ? En bref : le bouton lui-même n’est pas dangereux, mais tout repose alors sur un seul compte que vous devez savoir protéger.

Comment ça marche

Techniquement, c’est la norme OpenID Connect, bâtie sur OAuth 2.0. Trois parties interviennent : vous, le site ou l’application où vous vous connectez, et le fournisseur d’identité (Google, Apple, Facebook).

1. Vous cliquez sur le bouton et le site vous redirige vers la page du fournisseur.
2. Vous vous connectez chez le fournisseur (souvent, vous l’êtes déjà). Vous ne saisissez le mot de passe que là ; le site ne le voit jamais.
3. Le fournisseur demande ce que le site peut recevoir, en général votre nom, votre adresse e-mail et votre photo. Chez Google, c’est le profil de base ; sur Facebook, une application peut demander sans examen le profil public et l’adresse e-mail ; Apple permet de masquer l’adresse e-mail.
4. Le fournisseur envoie au site la confirmation de qui vous êtes, et le site vous connecte ou crée votre compte.

OAuth existe pour que les applications n’aient pas à recevoir votre mot de passe. Sans lui, un tiers connaîtrait le mot de passe, le stockerait, et la seule façon de lui couper l’accès serait de changer le mot de passe. Aujourd’hui, le site reçoit une autorisation limitée que vous pouvez retirer.

Ce que la connexion par un fournisseur apporte

• Pas de mot de passe supplémentaire. Le site ne détient aucun mot de passe de vous, il ne peut donc pas le perdre lors d’une fuite, et vous ne pouvez pas le réutiliser.
• Vous héritez de la protection du fournisseur. La validation en deux étapes, les clés d’accès et les alertes de connexion suspecte fonctionnent si vous les activez chez le fournisseur.
• Vous contrôlez ce que le site reçoit et vous pouvez le retirer. Google propose une liste d’applications associées que vous pouvez consulter ou supprimer à tout moment, Apple permet d’arrêter dans les réglages d’utiliser « Se connecter avec Apple » pour une application, et Facebook a une section « Applications et sites web ».
• C’est rapide. Moins de fautes de frappe, moins de mots de passe oubliés, moins de formulaires.

Où se trouvent les risques

• Un compte ouvre beaucoup de portes. Si le fournisseur bloque votre compte, si vous le perdez ou si quelqu’un le prend, tous les services liés sont menacés ou perdus d’un coup.
• Le fournisseur en sait plus sur vous. Le site demande au fournisseur de vous vérifier, donc le fournisseur connaît chaque connexion de ce type. Ce qu’il en fait dépend de ses propres règles.
• On donne vite son accord. Microsoft prévient que l’on clique souvent sur « accepter » sans lire les autorisations. Une application frauduleuse peut alors demander plus que nécessaire ou se faire passer pour une application de confiance. Un site météo n’a pas besoin d’accéder à votre messagerie.
• Retirer l’accès n’efface pas ce que le site a déjà. Google précise qu’il faut demander au développeur de supprimer les données déjà collectées, et Facebook propose une demande de suppression de données pour une application retirée.
• Le compte du service est lié à celui du fournisseur. Si vous changez d’adresse e-mail, de fournisseur ou, avec Apple, si vous coupez la redirection d’une adresse masquée, vous risquez des difficultés de récupération ou de ne plus recevoir de messages.

Faut-il avoir peur ?

Pas du bouton. Plutôt d’un compte de fournisseur mal protégé. Se connecter avec un compte bien protégé (mot de passe long et unique ou clé d’accès, validation en deux étapes, informations de récupération à jour) est, pour la plupart des services, plus sûr qu’un nouveau mot de passe saisi à la main et réutilisé. Mais si le compte du fournisseur est protégé par un mot de passe faible, une seule fuite devient un désastre sur tous les services.

Il est raisonnable de faire la différence. Pour les services peu importants (une boutique, un jeu, un site d’actualités), la connexion par un fournisseur est pratique et assez sûre. Pour la messagerie, la banque, le travail et le gestionnaire de mots de passe, utilisez plutôt votre propre mot de passe solide ou une clé d’accès, afin qu’ils ne dépendent pas d’un compte de plus.

Comment l’utiliser en sécurité

1. Sécurisez le compte du fournisseur : mot de passe long et unique (faites-en générer un) ou clé d’accès, validation en deux étapes, téléphone et e-mail de récupération à jour.
2. Lisez ce que le site demande. Cela correspond-il à son usage ? Et vérifiez que la page de connexion appartient bien au fournisseur et non à une imitation.
3. Partagez le minimum. Si vous ne voulez pas donner votre adresse e-mail, Apple propose de la masquer.
4. De temps en temps, passez en revue les applications associées (Google, Apple et Facebook ont chacun une liste) et retirez celles que vous n’utilisez plus.
5. Pour les services importants, gardez un moyen de connexion de secours, comme votre propre mot de passe ou une clé d’accès, afin que la perte du compte du fournisseur ne vous enferme pas dehors.
6. Quand vous cessez d’utiliser un service, retirez son accès et demandez la suppression de vos données.

Ceci n’est pas un conseil de sécurité pour votre situation particulière. Ni la connexion par un fournisseur ni un mot de passe solide ne protègent, seuls, de l’hameçonnage ou des logiciels malveillants.