Télécharger les sites web qui utilisent Auth0

À propos de Auth0

Un fournisseur d’authentification est l’une des rares technologies qui vous apprennent qu’un site a des utilisateurs. Une page vitrine a besoin d’un système de contenu et d’un formulaire de contact. Un écran de connexion suppose des comptes, des sessions, des permissions, des réinitialisations de mot de passe et de l’assistance, plus la décision d’acheter cette mécanique au lieu de l’écrire. Auth0 relève de la catégorie Authentication, un service d’identité hébergé qui couvre la connexion via les réseaux sociaux, les invites multifacteur, l’authentification unique et le travail de protocole qui les sous-tend.

C’est sur la détection qu’il faut être honnête. Ce que nous voyons, c’est la bibliothèque JavaScript côté navigateur et les points d’accès qu’elle appelle, si bien que les sites que nous enregistrons sont ceux qui intègrent un widget de connexion dans leurs propres pages. Une grande partie de ce marché fonctionne à l’inverse, en redirigeant le visiteur vers un domaine de connexion hébergé, et une redirection ne laisse rien à trouver pour un robot sur la page d’origine. En octobre 2026 nous détectons la bibliothèque sur 173 sites, et la base de clients derrière le service est certainement plus large. Quiconque dimensionne un marché à partir de ce nombre devrait le traiter comme une borne basse portant sur un seul style d’intégration, et non comme un nombre de comptes.

Les données de version montrent pourquoi les bibliothèques d’identité côté client méritent d’être suivies. Nous relevons 22 chaînes de version distinctes dans la population, 9.5.1 figurant parmi celles que l’on rencontre couramment. Les bibliothèques d’identité sont figées tôt dans un projet, empaquetées dans un build puis laissées telles quelles, si bien que l’étalement des versions est large et que de vieux paquets continuent de tourner longtemps après que le fournisseur est passé à autre chose. Pour un chercheur en sécurité, c’est précisément cet étalement qui compte. Une bibliothèque de connexion que personne n’a mise à jour depuis des années est une dépendance que plus personne ne surveille, et les sites qui en font tourner une deviennent identifiables en tant que groupe au lieu de l’être un par un.

Le changement de propriétaire a modifié ce que veut dire acheter ce service. La plateforme date de 2013 et appartient désormais à Okta, si bien qu’un outil indépendant destiné aux développeurs est devenu une pièce d’un portefeuille d’identité pour grandes entreprises, avec la tarification, les procédures d’achat et les offres groupées qui vont avec. Le service est sous licence Proprietary, et chaque détection vaut donc pour un contrat, les domaines qui le portent étant des applications en service avec de vraies bases d’utilisateurs plutôt que des pages statiques.

Une requête domaine par domaine répond à une question ciblée sur un seul site. Une liste répond aux questions qui n’existent qu’à l’échelle d’une population : combien de produits d’un secteur externalisent l’identité au lieu de la construire, dans quels frameworks les intégrations sont logées, quelles versions empaquetées sont assez anciennes pour compter, et comment le groupe se déplace d’un instantané à l’autre. Les concurrents s’en servent pour dimensionner un marché. Les équipes de sécurité s’en servent pour trouver des builds exposés. Les intégrateurs s’en servent pour trouver des applications déjà engagées dans un modèle d’identité hébergé.