Code source wiki de Anonymisation des Urls

Version 26.1 par Aurelie Bertrand le 2025/04/30 10:22

version	line-number	content
11.2	1	Ce document décrit comment s'authentifier automatiquement sans l'utilisation du paramètre pass dans les différents modules de DigDash Enterprise (tableaux de bords, pages de configuration).
1.1	2
21.2	3	(% class="wikigeneratedid" id="HAuthentificationviaunjetonAuthToken" %)
11.2	4	Le principe est de demander, une fois authentifié, un jeton permettant lors de son utilisation de créer une nouvelle session basée sur celle demandée par la session courante.
17.1	5	Ce jeton permet de créer une session automatique sans avoir à spécifier le mot de passe de l'utilisateur.
11.2	6	Ce jeton est à usage unique, le même token ne peut être utilisé pour créer plus d'une session. Pour créer plusieurs sessions, plusieurs jetons sont nécessaires.
1.1	7
14.1	8	(% class="box infomessage" %)
	9	(((
15.1	10	ℹ Le jeton est à usage unique mais n'a pas de durée de validité. Tant que la session initiale n'a pas expiré, le jeton est utilisable.
14.1	11	)))
13.1	12
23.1	13	= Effectuer la demande de jeton AuthToken =
21.2	14
23.1	15	Il est possible de s'authentifier de 3 manières différentes pour effectuer la demande de jeton.
	16
21.2	17	* Connecté avec l'utilisateur et le mot de passe :
	18	La demande de jeton s'effectue par le biais d'un web service dont l'url est sous la forme suivante :
24.1	19	(% style="color:#4e5f70" %)//http:~/~/localhost:8080/ddenterpriseapi/DDEnterpriseServlet?user=admin&pass=admin&method=newAuthToken//
22.1	20
	21	(% class="box warningmessage" %)
	22	(((
	23	❗Le mot de passe doit être correctement encodé pour que l'URL fonctionne.
	24	)))
	25
21.2	26	* Via un jeton JWT : (((
	27	La demande de jeton s'effectue via une requête. Le jeton JWT (JSON Web Token) est spécifié dans l'en-tête HTTP pour s'authentifier.
26.1	28	Ce jeton JWT est généré via l'API REST DigDash. Consultez le paragraphe [[Créer une clé API>>doc:Digdash.API.DD_API.WebHome\|\|anchor="API"]] pour plus de détails.
23.1	29	La requête a la forme suivante (exemple avec une requête curl) :
22.1	30
	31	{{code language="C"}}
	32	curl -H "Authorization: Bearer <JWT>" "http://localhost:8080/ddenterpriseapi/DDEnterpriseServlet?method=newAuthToken"
	33	{{/code}}
	34
23.1	35	dans laquelle, //<JWT>// est à remplacer par le jeton JWT obtenu précédemment.
21.2	36	)))
	37	* (((
	38	Via une clé API :
	39	La demande de clé API s'effectue via une requête. La clé API est spécifiée dans l'en-tête HTTP pour s'authentifier.
23.1	40	Cette clé API est générée via l'API REST DigDash. Consultez le paragraphe [[Créer un jeton JWT >>doc:Digdash.API.DD_API.WebHome\|\|anchor="JWT"]]pour plus de détails.
	41	La requête a la forme suivante (exemple avec une requête curl) :
21.2	42
22.1	43	{{code language="C"}}
	44	curl -H "X-API-KEY: <apikey>" "http://localhost:8080/ddenterpriseapi/DDEnterpriseServlet?method=newAuthToken"
	45	{{/code}}
23.1	46
	47	dans laquelle, //<apikey>// est à remplacer par la clé API obtenue précédemment.
24.1	48	)))
23.1	49
24.1	50	Le paramètre method=newAuthToken permet au retour de l'url ou de la requête de récupérer le nouveau jeton AuthToken ainsi généré.
23.1	51
24.1	52	= Utiliser le jeton AuthToken dans une URL =
21.2	53
24.1	54	Uen fois le jeton AuthToken récupéré, vous pouvez l'utiliser dans une URL afin de créer une session automatique sans les informations d'authentification.
	55
	56	Par exemple, pour un tableau de bord, on l'utilisera sous la forme suivante :
	57	(% style="color:#4e5f70" %)//http:~/~/localhost:8080/digdash_dashboard/index.html?user=admin&authToken=token//(%%)
	58	Le paramètre authToken est à resneigner avec le jeton récupéré lors de l'étape pécédente.
	59
18.2	60	Pour s'authentifier via un jeton AuthToken :
1.1	61
17.1	62	1. Connectez-vous via la page de connexion ou le passage de l'utilisateur et mot de passe.
24.1	63	1.
17.1	64	1. Effectuez la demande de jeton par le biais d'un web service dont l'url est sous la forme suivante :
17.2	65	[[http:~~/~~/localhost:8080/ddenterpriseapi/DDEnterpriseServlet?user=admin&pass=admin&method=newAuthToken>>url:http://http://localhost:8080/ddenterpriseapi/DDEnterpriseServlet?user=admin&pass=admin&method=newAuthToken]]
17.1	66	Le paramètre method=newAuthToken permet au retour de cette url de récupérer le nouveau jeton ainsi généré.
1.1	67
16.1	68	(% class="box warningmessage" %)
	69	(((
	70	❗Le mot de passe doit être correctement encodé pour que l'URL fonctionne.
	71	)))
	72
17.1	73	(% start="3" %)
	74	1. Utilisez alors le jeton dans une URL afin de créer une session automatique sans les information d'authentification.
18.1	75	Par exemple, pour un tableau de bord : [[http:~~/~~/localhost:8080/digdash_dashboard/index.html?user=admin&authToken=token>>http://localhost:8080/digdash_dashboard/index.html?user=admin&authToken=token]]
17.1	76	Le paramètre authToken est le jeton renvoyé lors de l'étape pécédente.
1.1	77
17.1	78	== Avancé : Emprunt d'identité ==
11.2	79
12.1	80	La méthode newAuthToken de l'API renvoie un jeton pour la session courante et l'utilisateur courant. Il faut donc avoir une session de cet utilisateur pour pouvoir appeler cette méthode et utiliser son résultat dans une URL.
	81
17.2	82	Dans certains cas, c'est une contrainte et il est intéressant de pouvoir ouvrir une session pour un autre utilisateur (cible), à partir d'un utilisateur source. Il existe la méthode newAuthTokenAs qui prend un paramètre supplémentaire userId.
12.1	83
20.1	84	Les pré-requis suivants sont nécessaires pour pouvoir utiliser cette méthode :
12.1	85
	86	* Le système doit avoir la propriété PROP_NEWAUTHTOKENAS = true dans system.xml
17.2	87	* L'utilisateur source doit avoir l'autorisation Admin > Permettre l'emprunt d'identité.
12.1	88
17.2	89	Une fois ces pré-requis remplis, procédez comme suit :
12.1	90
17.2	91	1. Connectez-vous via la page de connexion ou le passage de l'utilisateur et mot de passe.
	92	1. Effectuez la demande de jeton par le biais d'un web service dont l'url est sous la forme suivante :
18.1	93	[[http:~~/~~/localhost:8080/ddenterpriseapi/DDEnterpriseServlet?user=admin&pass=admin&method=newAuthTokenAs&userId=utilsateurCible>>http://http://localhost:8080/ddenterpriseapi/DDEnterpriseServlet?user=admin&pass=admin&method=newAuthTokenAs&userId=userCible]]
	94	Le paramètre method=newAuthTokenAs permet au retour de cette url de récupérer le nouveau jeton ainsi généré.
17.2	95
	96	(% class="box warningmessage" %)
	97	(((
	98	❗Le mot de passe doit être correctement encodé pour que l'URL fonctionne.
	99	)))
	100
	101	(% start="3" %)
	102	1. Utilisez alors le jeton dans une URL afin de créer une session automatique sans les information d'authentification.
18.1	103	Par exemple, pour un tableau de bord : [[http:~~/~~/localhost:8080/digdash_dashboard/index.html?user=utilisateurCible&authToken=token>>http://localhost:8080/digdash_dashboard/index.html?user=userCible&authToken=token]]
17.2	104	Le paramètre authToken est le jeton renvoyé lors de l'étape pécédente.
18.2	105
	106	= Authentification via un jeton JWT =
	107
19.1	108	Un jeton JWT (JSON Web Token) peut être utilisé pour s'authentifier via les en-têtes HTTP dans votre requête.
18.2	109
19.1	110	Ce jeton JWT est généré via l'API REST DigDash. Consultez le paragraphe [[Créer un jeton JWT >>doc:Digdash.API.DD_API.WebHome\|\|anchor="JWT"]]pour plus de détails.
	111
	112	Pour une requête curl, on
	113
	114	{{{curl -H "Authorization: Bearer <JWT>" "http://localhost:8080/ddenterpriseapi/DDEnterpriseServlet?method=newAuthToken" }}}
	115
	116	Placer un JWT dans une URL l’expose aux journaux, à l’historique du navigateur et aux référents. L’utilisation du header Authorization: Bearer <token> est la méthode recommandée pour protéger les données sensibles tout en évitant leur exposition.
	117
	118	Pour anonymiser une URL tout en utilisant une clé API dans le header, vous ne transmettez pas la clé dans l’URL (ce qui serait visible et non sécurisé), mais uniquement dans les en-têtes HTTP. Cela évite d’exposer la clé dans les journaux de requêtes ou les navigateurs.
	119
18.2	120

Code source wiki de Anonymisation des Urls

Sommaire