Marché

Alors que les entreprises s'appuient de plus en plus sur les API pour connecter leurs services et applications, la sécurisation de ces pipelines de données est essentielle. Ce cas d'utilisation décrit la mise en œuvre d'un système d'authentification JSON Web Token (JWT) robuste pour l'API principale Joomla d'un client, garantissant ainsi un accès réservé aux utilisateurs enregistrés et authentifiés.

Pré-requis :

Ce cas d'utilisation a été implémenté de manière transparente grâce aux plugins listés ci-dessous. Pour ce faire, vous devrez installer ces plugins sur votre instance Joomla.

Extension d'API personnalisée pour Joomla

Le plugin API personnalisé vous permet de créer des points de terminaison/routes REST personnalisés pour récupérer/modifier/créer/supprimer des données dans Joomla.

Télécharger l'extension

Challenge

Le client devait exposer les données et fonctionnalités de son site Joomla via une API pour une utilisation dans des applications externes. Cependant, les contrôles d'accès par défaut étaient insuffisants pour répondre à ses exigences de sécurité. Le principal défi consistait à mettre en œuvre une authentification JWT basée sur l'utilisateur système. Cela signifiait que l'accès à l'API ne pouvait pas être ouvert ou basé sur une simple clé API statique ; il devait être accordé dynamiquement uniquement aux utilisateurs disposant d'identifiants de connexion valides sur le site Joomla.

Solution

Nous avons conçu et développé un flux d'authentification personnalisé qui s'intègre directement au système de gestion des utilisateurs de Joomla. La solution consistait à créer un point de terminaison d'API dédié spécifiquement à la génération de jetons JWTCette approche garantit que chaque demande d’API est validée en toute sécurité sans exposer à plusieurs reprises les informations d’identification de l’utilisateur.

Cette solution basée sur JWT offre plusieurs avantages :

• Sécurité renforcée: Les jetons sont signés numériquement et peuvent être vérifiés par le serveur, empêchant ainsi tout accès non autorisé.
• Sans état et évolutif : Le serveur n’a pas besoin de stocker les informations de session pour chaque utilisateur, ce qui rend l’API plus efficace et évolutive.
• Durée de vie du jeton contrôlé : En permettant de définir un délai d'expiration, les jetons deviennent automatiquement invalides après une certaine période, réduisant ainsi le risque que les jetons compromis soient utilisés à mauvais escient.
• Intégration transparente: Il exploite la base de données utilisateur Joomla existante, il n'est donc pas nécessaire de gérer un ensemble distinct d'informations d'identification pour l'accès à l'API.

Mise en œuvre

Le processus d'authentification a été mis en œuvre en deux phases distinctes : la génération du jeton et la validation du jeton :

• Génération de jetons :
• Un utilisateur doit d’abord demander un jeton en envoyant ses informations d’identification à un nouveau point de terminaison sécurisé.
• Cette demande doit contenir leur Joomla Nom d'utilisateur et . De plus, un prédéfini clef secrète et un désiré Date d'expiration doit être fourni.
• Notre système valide le nom d'utilisateur et le mot de passe par rapport à la base de données des utilisateurs Joomla.
• Si les informations d’identification sont correctes, un JWT unique est généré, signé avec la clé secrète et renvoyé à l’utilisateur.
• Accès API avec jeton :
• Pour accéder à n'importe quel point de terminaison d'API Joomla protégé, l'utilisateur doit inclure le JWT généré dans le Autorisation en-tête de leur demande.
• Une couche middleware sur le site Joomla intercepte chaque appel d'API, vérifie la présence d'un JWT valide dans l'en-tête et vérifie sa signature et sa date d'expiration.
• Si le jeton est valide, la requête est traitée. S'il est manquant, invalide ou expiré, l'API renvoie immédiatement un 401 non autorisé erreur, blocage d'accès.

Résultat

En créant ce système d'authentification JWT personnalisé, nous avons sécurisé l'API Joomla du client. Cette solution offre une méthode d'authentification utilisateur moderne, sécurisée et évolutive, directement liée à sa base d'utilisateurs Joomla existante. Le client peut désormais connecter son site web à d'autres services et applications en toute confiance, sachant que ses données sont protégées et que l'accès est strictement contrôlé pour chaque utilisateur.

Ressources additionnelles

1. Authentification API personnalisée pour Joomla
2. Authentification Web3 pour Joomla
3. Bouclier de sécurité Joomla