Genesys Cloud
Le secret du client OAuth n'est plus visible après la création.

Annoncé le Date d’entrée en vigueur L'idée d'Aha !
2025-02-10 - Lien Aha !

Dans une prochaine version, Genesys Cloud améliorera la sécurité du client OAuth en limitant l'accès au secret du client. Actuellement, les administrateurs peuvent consulter le secret du client OAuth à tout moment dans l'interface d'administration et le récupérer via certaines réponses API. Après cette modification, le secret du client ne sera visible que lorsqu'un nouveau client OAuth est créé ou lorsqu'un nouveau secret est généré. Ce changement renforce la sécurité d'OAuth en réduisant l'exposition aux informations d'identification sensibles tout en donnant aux administrateurs le temps d'ajuster leurs processus. En autorisant l'accès uniquement lors de la création/réinitialisation, Genesys Cloud encourage les meilleures pratiques en matière de gestion sécurisée des informations d'identification.

Note: Les administrateurs doivent copier et stocker le secret en toute sécurité, car il ne pourra pas être récupéré ultérieurement.

Plan de transition

Supprimer le secret du client de l'interface d'administration

  • Le secret du client ne sera visible qu'à la création/réinitialisation.
  • Une invite de l'interface utilisateur rappelle aux administrateurs de copier et de stocker le secret en toute sécurité.
  • Le secret sera toujours accessible via l'API pendant cette phase afin de faciliter la transition.

Supprimer le secret du client des réponses de l'API

Le secret du client ne sera plus renvoyé dans les réponses de l'API, y compris :

  • GET /api/v2/oauth/clients/{clientid}
  • PUT /api/v2/oauth/clients/{clientid}
Cela signifie que les administrateurs et les applications ne pourront plus récupérer le secret du client après la création/réinitialisation. De plus, til n'y a pas de changement dans le comportement pour POST /api/v2/oauth/clients. Le secret du client sera toujours renvoyé par l'API lors de la création du client ou de la réinitialisation du secret du client lors de l'utilisation de la commande POST. 

Action requise

Avant que ce changement ne prenne effet, les administrateurs doivent :
  • Examiner les clients OAuth existants et s'assurer que tous les secrets nécessaires sont stockés en toute sécurité.
  • Mettez à jour tous les flux de travail qui dépendent de la récupération du secret du client à partir de l'API.
Pour plus d'informations, voir la modification de l'interface utilisateur : Suppression du secret client OAuth pour l'interface d'administration community post.