OAuth 2.0
Le cadre d'autorisation — « laisser une appli accéder à mes données X sans partager mon mot de passe ». Pas de l'authentification (c'est le rôle d'OIDC, construit par-dessus).
Quatre types d'octroi (grant types) d'origine : Authorization Code (pour les applications web), Implicit (déprécié en 2020), Resource Owner Password (déprécié), Client Credentials (serveur à serveur). Aujourd'hui : Authorization Code + PKCE est le défaut pour toute authentification interactive, y compris les SPA. OAuth 2.1 (brouillon de RFC, 2024) fait le ménage : supprime Implicit et ROPC, rend PKCE obligatoire. Repose sur quatre rôles : resource owner, client, authorization server, resource server.