Les principes d’une API de santé sûre
- Agir au nom d’un professionnel identifié, jamais avec un compte technique partagé.
- Limiter chaque accès au strict nécessaire : périmètres par flux, patients que le professionnel suit déjà.
- Préférer des jetons de courte durée à des clés permanentes.
- Chiffrer les échanges en transit, et les données sensibles au repos.
- Tracer chaque appel, et pouvoir le restituer.
- Rendre l’autorisation révocable, avec effet immédiat.
OAuth 2 : le flux par code d’autorisation avec PKCE
- Demande d’autorisationVotre logiciel redirige le praticien vers l’écran de connexion et de consentement, avec les périmètres demandés.
- ConsentementLe praticien s’authentifie et accepte, ou refuse, ce que demande votre logiciel.
- Code d’autorisationIl est renvoyé à votre logiciel, à usage unique et de courte durée.
- Échange avec PKCEVotre logiciel échange ce code contre des jetons en prouvant qu’il est bien l’auteur de la demande initiale.
- Appels à l’APIChaque requête porte le jeton d’accès ; à son expiration, le jeton de rafraîchissement en obtient un nouveau, et l’ancien devient inutilisable.
Jetons, périmètres et révocation
| Élément | Bonne pratique |
|---|---|
| Jeton d’accès | Durée de vie courte, signé, vérifié à chaque appel. |
| Jeton de rafraîchissement | Rotation à chaque usage : l’ancien devient inutilisable. |
| Périmètres (scopes) | Un par type d’action, lecture et écriture séparées, présentés au praticien. |
| Révocation | Un point de révocation permet de mettre fin à un accès sans attendre l’expiration des jetons. |
| Secrets | Jamais dans le code source, ni dans une application installée chez le client. |
Et SMART on FHIR ?
SMART on FHIR est un profil d’OAuth 2 conçu pour les API FHIR : il normalise les périmètres (par exemple la lecture des observations d’un patient) et le lancement d’une application depuis un dossier patient. Il se retrouve dans de nombreux écosystèmes FHIR.
L’API Thérapéo Connect repose sur OAuth 2 avec ses propres périmètres, alignés sur ses flux : elle n’implémente pas le profil SMART on FHIR.
La sécurité chez Thérapéo Connect
Le serveur OAuth 2 de Thérapéo est en production : flux par code d’autorisation avec PKCE, jeton d’accès signé de courte durée, jeton de rafraîchissement à rotation, point de révocation, périmètres séparés en lecture et en écriture et présentés au praticien sur l’écran de consentement. Chaque appel est journalisé.
Côté portail partenaire, la double authentification est obligatoire pour chaque membre de votre équipe. Pour tester sans risque, voir le bac à sable.
Statut chez Thérapéo Connect
Ce qui est disponible aujourd’hui, et ce qui ne l’est pas encore.
Questions fréquentes
Comment sécuriser une API de santé avec OAuth 2 ?
En utilisant le flux par code d’autorisation avec PKCE, des jetons d’accès de courte durée limités à des périmètres précis, une rotation des jetons de rafraîchissement, la journalisation de chaque appel et un point de révocation pour mettre fin à un accès.
Une clé d’API suffit-elle pour une API de santé ?
Rarement. Une clé identifie un logiciel, pas le professionnel qui agit. Pour accéder à des données de patients, l’accès doit être rattaché à un professionnel authentifié et à son autorisation.
L’API Thérapéo est-elle compatible SMART on FHIR ?
Non. Elle repose sur OAuth 2 avec ses propres périmètres, alignés sur ses flux. Les correspondances avec vos usages sont établies lors de la conception de l’intégration.
