API Sécurité

L’API Sécurité fournit des outils pour protéger le tenant contre les accès non autorisés et les activités malveillantes. Les administrateurs peuvent gérer les listes d’IP autorisées/bloquées, examiner les événements de connexion suspects, configurer la vérification CAPTCHA et gérer les verrouillages de comptes.

Auris évalue les règles de sécurité pendant chaque tentative d’authentification dans cet ordre : règles IP (blocage/permission) → vérification CAPTCHA → rate limiting → validation des credentials → analyse des connexions suspectes → MFA adaptatif. Chaque niveau opère indépendamment et peut être configuré séparément.

Règles IP

Les règles IP définissent des listes d’autorisation et de blocage en utilisant la notation CIDR. Les règles de blocage ont toujours la priorité sur les règles d’autorisation. Les règles peuvent être limitées à l’ensemble du tenant ou à une application spécifique.

Lister les Règles IP

Paramètres de query

Réponse de succès

{
  "ok": true,
  "data": {
    "data": [
      {
        "id": "ipr_abc123",
        "cidr": "203.0.113.0/24",
        "type": "BLOCK",
        "scope": "TENANT",
        "applicationId": null,
        "label": "Plage d'attaquant connu",
        "note": "Bloqué après campagne brute-force le 2025-02-10",
        "isTemporary": true,
        "expiresAt": "2025-03-10T00:00:00Z",
        "isActive": true,
        "createdAt": "2025-02-10T14:30:00Z"
      },
      {
        "id": "ipr_def456",
        "cidr": "10.0.0.0/8",
        "type": "ALLOW",
        "scope": "TENANT",
        "applicationId": null,
        "label": "VPN d'entreprise",
        "note": "Plage réseau interne",
        "isTemporary": false,
        "expiresAt": null,
        "isActive": true,
        "createdAt": "2025-01-15T09:00:00Z"
      }
    ],
    "pagination": { "page": 1, "limit": 20, "total": 3, "totalPages": 1 }
  }
}

Créer une Règle IP

Corps de la requête

{
  "cidr": "192.0.2.0/24",
  "type": "BLOCK",
  "scope": "TENANT",
  "label": "Plage datacenter",
  "note": "Bloqué en raison d'activité de scraping automatisé",
  "isTemporary": true,
  "expiresAt": "2025-04-01T00:00:00Z"
}

Codes d’erreur

Mettre à Jour une Règle IP

Supprimer une Règle IP

Événements de Connexion Suspecte

Auris surveille les tentatives de connexion pour détecter des comportements anormaux en utilisant cinq méthodes de détection : nouvel appareil, nouvelle adresse IP, nouveau pays, voyage impossible et utilisation VPN/proxy. Quand une activité suspecte est détectée, un événement est enregistré et l’action configurée est exécutée (log uniquement, MFA requis, ou blocage).

Lister les Événements de Connexion Suspecte

Paramètres de query

Réponse de succès

{
  "ok": true,
  "data": {
    "data": [
      {
        "id": "sle_abc123",
        "userId": "usr_xyz789",
        "userEmail": "[email protected]",
        "reason": "impossible_travel",
        "severity": "high",
        "actionTaken": "require_mfa",
        "details": {
          "previousLocation": { "country": "France", "city": "Paris" },
          "currentLocation": { "country": "Brazil", "city": "Sao Paulo" },
          "distanceKm": 9000,
          "timeDiffMinutes": 45,
          "requiredSpeedKmh": 12000
        },
        "ipAddress": "198.51.100.42",
        "reviewed": false,
        "createdAt": "2025-02-18T09:15:00Z"
      }
    ],
    "pagination": { "page": 1, "limit": 20, "total": 47, "totalPages": 3 }
  }
}

Marquer un Événement comme Révisé

Codes d’erreur

Récupérer la Configuration de Détection

Réponse de succès

{
  "ok": true,
  "data": {
    "detectNewDevice": true,
    "detectNewIp": true,
    "detectNewCountry": true,
    "detectImpossibleTravel": true,
    "detectVpn": false,
    "actionOnNewDevice": "log",
    "actionOnNewIp": "log",
    "actionOnNewCountry": "require_mfa",
    "actionOnImpossibleTravel": "require_mfa",
    "actionOnVpn": "log",
    "maxTravelSpeedKmh": 900,
    "geoIpProvider": "ip-api",
    "updatedAt": "2025-02-01T12:00:00Z"
  }
}

Mettre à Jour la Configuration de Détection

CAPTCHA

La vérification CAPTCHA ajoute un défi humain aux flux d’authentification. Auris supporte trois fournisseurs : Cloudflare Turnstile, hCaptcha et reCAPTCHA v3. Le CAPTCHA peut être activé à chaque tentative, uniquement après une activité suspecte, ou après un nombre configurable de tentatives de connexion échouées.

Récupérer la Configuration CAPTCHA

Réponse de succès

{
  "ok": true,
  "data": {
    "provider": "CLOUDFLARE_TURNSTILE",
    "trigger": "ON_SUSPICIOUS",
    "siteKey": "0x4AAAAAAA...",
    "scoreThreshold": 0.5,
    "enableOnLogin": true,
    "enableOnRegister": true,
    "enableOnReset": false,
    "updatedAt": "2025-02-15T10:00:00Z"
  }
}

Mettre à Jour la Configuration CAPTCHA

Corps de la requête

{
  "provider": "CLOUDFLARE_TURNSTILE",
  "trigger": "AFTER_FAILURES",
  "siteKey": "0x4AAAAAAA_your_site_key",
  "secretKey": "0x4AAAAAAA_your_secret_key",
  "scoreThreshold": 0.5,
  "enableOnLogin": true,
  "enableOnRegister": true,
  "enableOnReset": true
}

Verrouillages de Compte

Quand un utilisateur dépasse le lockoutThreshold configuré dans les paramètres de sécurité, son compte est temporairement verrouillé. Les administrateurs peuvent visualiser les comptes verrouillés et les déverrouiller manuellement.

Lister les Comptes Verrouillés

Réponse de succès

{
  "ok": true,
  "data": {
    "data": [
      {
        "id": "lock_abc123",
        "userId": "usr_xyz789",
        "userEmail": "[email protected]",
        "userName": "Alice Martin",
        "failedAttempts": 5,
        "lockedAt": "2025-02-18T09:00:00Z",
        "expiresAt": "2025-02-18T09:15:00Z",
        "ipAddress": "203.0.113.50"
      }
    ],
    "pagination": { "page": 1, "limit": 20, "total": 2, "totalPages": 1 }
  }
}

Déverrouiller un Compte

Réponse de succès

{
  "ok": true,
  "data": {
    "unlocked": true,
    "userId": "usr_xyz789"
  }
}

Codes d’erreur

Ordre d’Évaluation de la Sécurité

Pendant chaque tentative d’authentification, Auris évalue les niveaux de sécurité dans cet ordre :

1. Règles IP — Si l’IP du client correspond à une règle BLOCK, la requête est rejetée avec 403 IP_BLOCKED.
2. CAPTCHA — Si le CAPTCHA est configuré et que la condition de déclenchement est satisfaite, le client doit fournir un token CAPTCHA valide.
3. Rate Limiting — Vérification des limites de fréquence à fenêtre glissante (configurables par tier).
4. Validation des Credentials — Vérification email/mot de passe ou autres credentials.
5. Brute Force / Verrouillage — Le compteur des tentatives échouées est incrémenté. Si le seuil est atteint, le compte est verrouillé.
6. Analyse des Connexions Suspectes — Analyse post-authentification de l’appareil, l’IP, la géographie et les patterns de voyage.
7. MFA Adaptatif — L’évaluation du risque peut nécessiter une authentification step-up si le score de risque dépasse les seuils.

Chaque niveau est indépendant et peut être désactivé sans affecter les autres.

Référence des Permissions

Pages Associées

• MFA Adaptatif et Risk Scoring — Comment l’évaluation du risque guide les décisions de sécurité
• Protection contre les Attaques — Configurer la protection brute-force et les connexions suspectes
• Configuration Protection des Menaces — Règles IP, CAPTCHA et détection de bots
• Paramètres de Sécurité (Console) — Gère toutes les fonctionnalités de sécurité depuis la Console