Glossaire
SAML 2.0 (Security Assertion Markup Language)
La norme XML du single sign-on d'entreprise (SSO). Un utilisateur s'authentifie auprès d'un Identity Provider (IdP : Okta, Azure AD, Keycloak) ; l'IdP renvoie une assertion signée à un Service Provider (SP : GitLab, Salesforce, votre application). Le SP se fie à l'assertion — d'où les failles : assertion sans audience, signature wrapping, replay. Côté identité, SAML est l'équivalent d'OAuth/OIDC côté delegation.
Questions fréquentes
SAML ou OAuth, quelle différence ?
SAML est du côté de l'identité (qui est l'utilisateur, assertion signée, SSO d'entreprise). OAuth/OIDC est de la délégation + identité par token (JWT). En pratique : SAML pour le SSO vers les apps d'entreprise, OAuth/OIDC pour les intégrations produit.
Quelle est la faille SAML classique ?
Une assertion acceptée sans vérifier l'audience (un token émis pour l'app A est présenté à l'app B), le signature wrapping (une signature valide placée autour d'une assertion forgée), et le replay. Dans les trois cas : le SP vérifie la signature mais pas la destination.