Autorisations OAuth et révocation

Quand un employé clique « Se connecter avec Microsoft » ou « Se connecter avec Google » et accepte les permissions demandées, il donne à une application tierce un accès à des données de l'organisation. La page Permissions OAuth liste ces autorisations, signale les portées sensibles et propose une recommandation par application. Rien n'est révoqué automatiquement : la révocation est un geste manuel et, par défaut, elle est seulement simulée.

Où les trouver

Ouvrez Accès & Identité, puis Permissions OAuth. Les autorisations sont relevées à chaque scan de la source active, Microsoft 365 ou Google Workspace. Trois onglets :

• Par grant : une ligne par autorisation (application, personne, permissions, date d'octroi) ;
• Par intégration : une ligne par application, avec son risque le plus élevé ;
• Par scope : une ligne par portée, avec le nombre d'applications et de comptes qui la partagent.

Le type de consentement change beaucoup la portée réelle :

• Utilisateur : accordé par une personne pour elle-même.
• Admin (délégué) : accordé par un administrateur au nom de toute l'organisation.
• Application : l'application agit sans utilisateur connecté. Désactiver un compte ne coupe pas cet accès.

Les portées sensibles

Chaque portée (appelée « permission » dans la console) est décrite en français au survol. Le niveau de risque d'une autorisation se lit ainsi :

Ce niveau mesure la puissance des permissions, pas leur pertinence. Dans le détail d'une autorisation, des pastilles ajoutent des faits : Permissions d'application, Consentement pour toute l'organisation, Permissions réservées aux administrateurs, Beaucoup de permissions (vingt ou plus), Éditeur vérifié, Inscription de votre organisation.

L'analyste de risque OAuth

L'analyste répond à une autre question : ces permissions ont-elles du sens pour cette application ? Un convertisseur PDF qui demande de lire tous les courriels obtient le même niveau Élevé qu'un vrai client de messagerie ; l'analyste, lui, signale la disproportion.

• Unité d'analyse : une application avec un ensemble de permissions. Cent employés qui ont accepté les mêmes permissions donnent un seul verdict, et un nouvel employé qui accepte le même ensemble ne relance pas d'analyse.
• Verdict : une recommandation (Accepter, Surveiller ou Révoquer), une justification en français, les Permissions jugées disproportionnées et un taux de confiance.
• Ce qui est analysé : le nom de l'application, l'éditeur déclaré et vérifié, le site déclaré, le type de consentement, le nombre de personnes et la liste des permissions. Aucun nom ni courriel d'employé. L'analyse est faite par un modèle d'IA d'Anthropic.
• Quand : chaque nuit, Sorvek analyse jusqu'à 40 combinaisons par organisation, en commençant par les permissions d'application, puis les consentements administrateur, puis les applications qui ont le plus d'utilisateurs. Un administrateur peut aussi cliquer Analyser pour traiter tout ce qui attend ; l'analyse continue si vous quittez la page.

Cliquez une ligne pour ouvrir le détail : analyse, auteur du consentement, permissions accordées et comptes concernés. Demander adresse une question à la personne qui a consenti ; elle ne part que si l'envoi de messages aux employés est armé. M'alerter vous prévient dans la boîte de réception Sorvek lors d'un prochain consentement à cette application ou donné par cette personne.

Révoquer une autorisation

La révocation est réservée aux administrateurs. Elle peut être accordée à une autre personne dans Paramètres > Permissions avancées (voir Rôles et accès).

1. Dans l'onglet Par grant, cliquez l'icône de corbeille de la ligne, ou Révoquer dans le détail.
2. Lisez la fenêtre de confirmation : elle affiche le mode en cours, Mode simulation ou Actions armées.
3. Cliquez Révoquer.

Pour plusieurs autorisations, cochez-les puis cliquez Révoquer la sélection et Confirmer la révocation.

Le double verrou

Une révocation n'est envoyée au fournisseur que si deux verrous sont armés en même temps :

• le Cran plateforme, géré par Sorvek et non modifiable dans la console, désarmé par défaut ;
• le Cran de ce tenant, que vous armez dans Paramètres > Actions destructives, en recopiant exactement la phrase JE COMPRENDS QUE CES ACTIONS SONT IRREVERSIBLES.

Si l'un des deux est désarmé, vous êtes en Mode simulation : Sorvek n'appelle ni Microsoft ni Google, l'autorisation reste active, et la tentative est inscrite au Journal d'audit comme « Action simulée (aucun effet) ». La page Actions destructives recommande de n'armer qu'un locataire de laboratoire.

En mode armé, Sorvek demande au fournisseur de supprimer l'autorisation :

• Google Workspace : la suppression est faite, et elle est irréversible. La personne devra consentir de nouveau pour retrouver l'accès.
• Microsoft 365 : la suppression exige une permission d'écriture que Sorvek ne demande pas (voir Permissions demandées). Microsoft la refuse, la console affiche un échec et l'autorisation reste active. Retirez-la côté Microsoft, depuis l'application d'entreprise dans Microsoft Entra ID.

Pour un consentement Admin (délégué), l'autorisation supprimée est celle de toute l'organisation, pas seulement celle de la personne affichée.