How to Design Single Page Apps with a BFF to make API calls Securely and Prevent Token Hijacking

Paul Figura, architecte en chef chez Indigo Consulting et vétéran de la gestion des identités et des accès, explique pourquoi les applications monopages qui stockent naïvement leurs jetons OAuth dans des cookies sont vulnérables : un script injecté par XSS peut lire ce cookie et rejouer le jeton contre toute API qui fait confiance au même émetteur, aux mêmes portées et à la même audience, scénario fréquent puisque les équipes recopient la configuration d'une autre. Il présente le patron backend-for-frontend (BFF), inventé chez SoundCloud en 2015, où l'application ne reçoit jamais le jeton brut : le BFF complète lui-même le flux OAuth par code d'autorisation, chiffre le jeton dans un cookie opaque ou le fait correspondre à un identifiant de session, et ne le déchiffre qu'au moment de transmettre l'appel à l'API réelle. Une démonstration en direct avec ForgeRock Identity Gateway montre qu'un jeton volé échoue contre les API protégées une fois le BFF en place, alors qu'une API publique reste accessible. Il termine avec des mesures complémentaires : portées OAuth, audiences non partagées, stockage en mémoire volatile, en précisant qu'un BFF seul n'empêche pas un script XSS de rejouer un cookie BFF volé, lacune que la spécification DPoP, non ratifiée, vise à combler.