OAuth : demander un accès adapté à la tâche
Un consentement moins global
Le 20 août 2026, Cloudflare a ajouté des scopes OAuth optionnels. L’utilisateur peut refuser certaines permissions facultatives ; l’application doit ensuite vérifier celles que le jeton a réellement reçues.
Concevoir une tâche avec son minimum d’accès
Un scope décrit une capacité autorisée, par exemple lire une ressource ou la modifier. Pour un assistant qui examine une configuration, séparer la lecture de l’écriture permettrait de proposer un parcours utile dès le premier niveau de consentement. Une action supplémentaire pourrait demander un accès complémentaire au moment où elle devient nécessaire.
Cela modifie le travail de conception : les fonctions disponibles doivent correspondre aux permissions obtenues, et les messages d’erreur doivent expliquer simplement l’accès manquant. Un test de refus partiel devient aussi important qu’un test d’autorisation complète.
Le jeton reste la référence
Une permission déclarée dans le client ne prouve pas qu’elle a été accordée. Les contrôles côté service restent indispensables, surtout pour les outils capables de changer une infrastructure. Cette évolution améliore la précision du consentement, mais ne définit pas à elle seule les règles métier ni les limites d’un agent autonome.
Rétrospective éditoriale : les faits sont datés dans le texte.