Le 20 août 2026, Cloudflare a lancé des portées OAuth facultatives afin que les utilisateurs puissent choisir exactement les autorisations à accorder pour une tâche spécifique. Si vous connectez des agents d’IA ou des outils SaaS à vos comptes, vous n’avez plus besoin d’accepter un écran d’approbation du type tout ou rien.
D’après le Cloudflare Blog, un client OAuth peut désormais désigner ses autorisations comme obligatoires ou facultatives. Lors de la connexion, un utilisateur peut désélectionner les cases facultatives. Le jeton généré ne reçoit alors que les autorisations que vous avez approuvées. Les applications existantes conservent leur configuration standard, à moins que les développeurs n’activent explicitement cette fonctionnalité.
Cela modifie le modèle d’autorisations.
Un meilleur contrôle pour les agents et outils d’IA
De nombreux outils modernes, comme les serveurs Model Context Protocol (MCP) et les interfaces en ligne de commande, demandent un accès étendu car ils prennent en charge de nombreuses tâches. Cependant, vous ne souhaitez peut-être qu’un agent n’exécute qu’une tâche spécifique aujourd’hui. Grâce aux portées facultatives, vous pouvez n’accorder à l’outil que l’accès dont il a besoin à cet instant. Cloudflare affirme que ce modèle aide également les outils internes et les intégrations SaaS standards.
Les jetons deviennent beaucoup plus ciblés.
Les chiffres que vous ne devriez pas vérifier seul
Cloudflare affirme avoir traité plus d’un million d’autorisations depuis juin. Ce chiffre provient directement de l’entreprise — personne en dehors de Cloudflare n’a mesuré de manière indépendante l’adoption ni vérifié ces chiffres. Cloudflare n’a pas non plus prouvé que cette fonctionnalité réduisait les failles de sécurité dans des conditions réelles. Un jeton plus restreint limite l’accès, mais votre application doit toujours gérer des autorisations partielles sans planter.
Ce que les développeurs doivent gérer
Cette mise à jour transfère un travail réel aux développeurs d’applications. Par le passé, une application pouvait supposer qu’elle recevait toutes les autorisations demandées. Désormais, les développeurs doivent inspecter le jeton après l’autorisation pour voir quelles portées ont été accordées. Si un utilisateur désactive une portée facultative, l’application doit afficher un message utile au lieu d’échouer silencieusement.
Les applications doivent gérer les autorisations manquantes.
Comment vous pouvez le tester dès aujourd’hui
Si vous créez ou maintenez des intégrations, testez ce flux de travail dans un environnement de préproduction :
- Créez un client OAuth de test avec deux portées obligatoires et deux portées facultatives.
- Demandez les quatre portées, mais décochez les deux portées facultatives sur l’écran de consentement.
- Échangez le code d’autorisation et inspectez la charge utile finale du jeton.
- Appelez vos API pour confirmer que le serveur bloque correctement les actions désactivées sans considérer l’ensemble du jeton comme non valide.
- Testez la manière dont vos agents d’IA et serveurs MCP signalent les capacités refusées aux utilisateurs.
Effectuer ces vérifications dès maintenant permettra de garantir que vos outils restent stables lorsque les utilisateurs choisissent de protéger leurs données.