Ces derniers mois l’actualité autour des technologies d’authentification est chaude, bouillante même ! Pour faire simple, l’authentification est « la procédure qui consiste à vérifier l’identité d’une entité (personne, ordinateur…), afin d’autoriser l’accès de cette entité à des ressources (systèmes, réseaux, applications…)« . Jusqu’à très récemment sur le web, le seul moyen d’accéder à un service était de se créer un compte en choisissant un identifiant et un mot de passe. Au siècle dernier cela ne posait pas de problème dans la mesure où un utilisateur lambda n’exploitait que très peu de services en ligne (Yahoo!, Amazon, Ebay…). Donc le nombre de login / mot de passe à retenir était limité.
Mais avec l’avènement des médias sociaux tout se complique car il n’est pas rare de devoir jongler entre des dizaines de services en ligne et donc autant d’identifiants et mots de passe. C’est là où sont apparus des systèmes d’authentification décentralisés comme OpenID. Très prometteuse, cette technologie a rapidement été adoptée par les plus grands acteurs (cf. Google, IBM, Microsoft, Yahoo et VeriSign adoptent OpenID) sans toutefois remporter l’adhésion du grand public.
Une technologie trop complexe pour le grand public
Le problème vient très certainement d’un manque de volontarisme de la part de ces acteurs qui hésitaient à se lancer dans de grandes campagnes d’évangélisation. Sans vouloir jouer les devins je pense que cette frilosité est du à une mécompréhension entre les notions d’identité et de profil. Communiquer sur un mécanisme de délégation d’authentification aurait fait fuir les partenaires potentiels (qui implémenteraient cette technologie) et inquiété les investisseurs.
Bref, tout ça pour dire qu’OpenID n’a pas trouvé sa cible, d’autant plus qu’il existe d’autres solutions qui présentent chacune des avantages / inconvénients. Ce contexte concurrentiel n’a fait que ralentir l’adoption de ces technologies, et ce malgré des travaux d’interopérabilité (cf. Vers un standard d’identité numérique ?).
Plus de simplicité et des usages concrets par faciliter l’adoption
Cela n’a pas découragé les promoteurs d’OpenID qui ont fait progresser leur standard et surtout l’ergonomie du dispositif : La création de compte simplifiée avec OpenID.
Mais celui qui a réellement fait découvrir la délégation d’authentification au grand public c’est… Barack Obama (encore lui ?) ou plutôt Facebook qui a eu la très bonne idée d’associer sa technologie « maison » Facebook Connect à une opération de buzz autour de la cérémonie d’investiture du nouveau président US. Et là subitement, l’intérêt de ces technologies sautent aux yeux (cf. CNN + facebook, premier exemple concret de télévision communautaire et Le partenariat CNN Live et Facebook peut-il faire trembler Twitter ?). La promesse est en effet très belle : pouvoir tester et s’inscrire sur une infinité de sites sans avoir à choisir de nouveaux identifiants en se servant de votre compte Facebook :

Oui mais voilà, cette promesse à une contre-partie : il faut accepter de partager certaines informations concernant votre profil. Cette première application à grande échelle a ainsi réveillée les vieilles craintes liées au respect de la confidentialité et aux dérives potentielles. Quoi que… il faut quand même se méfier (cf. Facebook Connect + Facebook Ads = A Social Ad Network).
Il n’a pas fallu attendre très longtemps pour que Google dévoile à son tour sa propre solution qui repose non pas sur une technologie propriétaire mais sur deux standards (OpenID et OAuth) : Google lance son offre concurrente à Facebook Connect.
Puis nous avons entendu des rumeurs au sujet de Twitter qui lui aussi serait en train de tester son propre mécanisme : Twitter OAuth Spotted in the Wild.

Le cas de Twitter est particulièrement intéressant car il existe de nombreux services qui reposent sur les APIs de Twitter et qui se servent déjà des comptes des utilisateurs comme identifiants. En implémentant un mécanisme plus robuste comme OAuth, Twitter donne alors la possibilité à ses utilisateurs de gérer de façon plus fine les droits d’accès.
Et finalement cette semaine c’est au tour de Yahoo! d’annoncer sa propre solution : Yahoo! Updates (cf. Yahoo! tente de concurrencer Facebook avec Yahoo! Updates).

Vous noterez au passage qu’il ne s’agit pas QUE d’authentification mais également d’agréger les actions réalisés sur les sites partenaires sur votre profil Yahoo!. Vous pouvez voir fonctionner ce système ici : Yahoo! Updates API Demo. D’un point de vue technique, les équipes de Yahoo! ont eu la très bonne idée de monter un partenariat avec JS-Kit, une société qui fournit une brique technologique très intéressante puisqu’elle permet (d’après ce que j’ai compris) de véhiculer des données « sociales » (updates…) entre différent services à l’aide de ces technologies de délégation d’authentification (plus d’infos ici : Yahoo! Launches Major Challenge to Facebook Connect).
Très bien… mais tout ceci ne résout pas le problème de fond du choix de la technologie : les différentes solutions existantes (plus ou moins concurrents) brouillent le débat et divisent la communauté informatique. Et pendant se temps là, l’utilisateur est toujours perdu dans ce débat d’expert (et dans ses mots de passe).
Bon… ceci étant dit et au vue des derniers travaux réalisés il semblerait que l’on commence à se diriger vers des solutions plus « grand public« , c’est à dire proposant un mode d’interaction plus simple pour l’nternaute lambda. Illustration avec le module de commentaires universels de JS-Kit : Comments Service.

Comme vous pouvez le constater sur cette capture, il est possible de déposer un commentaire en utilisant l’un des systèmes d’autentification proposé (OpenId, Yahoo! Updates, Facebook Connect…). Disons que c’est un premier pas très encourageant.








