« OAuth PKCE (Pixie) » est crédité en tant que co-auteurs avec moi, John Bradley (Ping) et Naveen Agarwal (Google).[RFC7636] Il a été publié sous le titre. Il s'appelait à l'origine OAuth SPOP (Symmetric Proof of Posession), mais depuis qu'il s'est étendu pour inclure des éléments autres que symétriques, il a été renommé Proof Key for Code Exchange (PKCE, pixie), ce qu'il est aujourd'hui.
Cette norme traite la vulnérabilité d'attaque par interception de code de Public Client dans OAuth 2.0 [RFC6749], génère une clé éphémère et l'utilise pour effectuer une preuve de possession de clé. Il est rétrocompatible avec la RFC6749 et facile à mettre en œuvre, je pense donc que vous pouvez l'utiliser à partir de maintenant.
Eduardo GueirosM,James MangerM,Brian CampbellM, Mike Jones,Guillaume DenisNous tenons à lui exprimer notre plus profonde gratitude ainsi qu'à tous ceux qui ont participé à l'examen des aspects de sécurité de cette norme. Je voudrais également remercier le groupe de travail OAuth, son président, les directeurs de zone et tous ceux de l'IETF qui ont participé au développement de cette norme.
Veuillez noter que cet OAuth PKCE a déjà été largement adopté par l'application de site vidéo d'une certaine entreprise et d'autres applications.
[RFC6749] Hardt, D. : Le cadre d'autorisation OAuth 2.0 (2012), https://tools.ietf.org/html/rfc6749