Comment l'authentification et l'autorisation sont-elles gérées ?

Notre plateforme utilise un modèle d'accès aux données basé sur le principe du moindre privilège. Ça veut dire que toutes les données ne sont accessibles qu'au service chargé de les stocker, de les traiter ou de les consulter. Par exemple, le service OCR qui fait la reconnaissance optique des caractères des documents a sa propre mémoire à laquelle aucun autre service ne peut accéder. De même, le service de travail OCR ne peut pas accéder aux données stockées pour d'autres services. Toutes les demandes doivent passer par les API des services concernés. On utilise des jetons Web JSON (JWT) pour garantir l'authentification en dehors de l'application, de sorte que nos systèmes d'identité et le service client soient la source de vérité. Les jetons ne peuvent être utilisés qu'aux fins pour lesquelles ils ont été autorisés. Lorsque vous ou un membre de votre équipe appelez un microservice ou un fragment, les jetons sont transmis à votre système d'identité et validés par ce dernier. Ce processus garantit que le jeton est à jour et signé avant que les données correspondantes ne soient divulguées. Combiné à l'autorisation et à l'authentification nécessaires pour accéder à ces microservices, la portée d'un service compromis est limitée. De plus, on n'attend pas que quelqu'un trouve une faille dans notre produit. On identifie activement ces scénarios pour minimiser leur impact pour toi et on met en œuvre une série de programmes de sécurité pour repérer, détecter et réagir aux menaces de sécurité.