Identité et zéro confiance

Guide produit : ce que la capacité apporte, pour qui, ses limites et la version qui l'a livrée - sans syntaxe de configuration.

Ce que ça fait	Vérifie l'identité de chaque appelant contre votre fournisseur d'identité, et exige exactement ce que le contrat demande, opération par opération. Quatre identités de premier plan : jeton OIDC (JWT ou jeton opaque introspecté), clé d'API, certificat client (mTLS), en-têtes d'un maillage de confiance. Fermé par défaut : un en-tête non déclaré n'atteint pas l'amont, un paramètre non déclaré est refusé, une origine de navigateur non autorisée aussi
Pourquoi c'est important	La sécurité ne dépend plus de chaque équipe d'API. Le tenant de l'appelant vient d'une source vérifiée (claim signée, clé, certificat), jamais d'un en-tête que le client écrit lui-même. Chaque décision d'autorisation peut être journalisée en audit, sujet haché
Cas d'usage	Un fournisseur pour les employés et un autre pour les clients, dans la même passerelle ; des clés d'API pour un partenaire ou un batch, liées à un tenant, à des opérations et à une date de fin ; un serveur bancaire qui présente un certificat ; renommer une audience sans couper les anciens jetons
Limites	Flexway consomme des jetons, n'en émet pas ; la liaison des jetons au porteur (DPoP, mTLS RFC 8705) n'est pas construite ; la vérification de signature des webhooks entrants et les listes d'adresses IP arrivent en 1.8.0
Depuis	0.3.0 (OIDC, fermé par défaut), 0.1.0 (clés d'API, certificats clients), 1.0.0 (jetons opaques, audit des décisions, audiences multiples)
Configurer	Brancher son fournisseur d'identité, Clés d'API, Certificats clients (mTLS)