Présentation du protocole auth.md

auth.md est un protocole ouvert publié par WorkOS qui repose sur un unique fichier Markdown. Ce fichier décrit, en texte lisible, les étapes que doit suivre un agent pour s’inscrire à un service, tandis qu’une petite collection d’endpoints HTTP fournit les jetons d’identification nécessaires. L’idée centrale est de supprimer le formulaire d’inscription traditionnel et de déléguer la logique d’enregistrement à un document partagé.

Architecture et flux d’enregistrement

Le flux se compose de trois parties : (1) le fichier auth.md hébergé sur le serveur du service, (2) un endpoint POST /auth/register qui consomme les paramètres décrits dans le markdown, et (3) un endpoint GET /auth/token qui renvoie un JWT ou un token d’accès après validation. Le markdown indique les champs requis (email, nom d’utilisateur, etc.) et les règles de validation. Lorsqu’un agent lit le fichier, il construit automatiquement la requête HTTP correspondante, ce qui élimine la nécessité d’une interface utilisateur dédiée. Le serveur valide les données selon les contraintes exprimées dans le markdown avant d’émettre le token.

Adoption et retours des premiers utilisateurs

Six mois après son lancement, auth.md a été intégré par plusieurs acteurs majeurs : Cloudflare, Neon, Monday.com et Resend. Ces entreprises rapportent une réduction du temps d’onboarding des partenaires, estimée à plusieurs minutes par intégration, ainsi qu’une simplification du processus de documentation technique. L’adoption rapide montre que le modèle « déclaration‑dans‑markdown » répond à un besoin concret de standardisation des flux d’inscription automatisés.

Analyse des risques et limites

Le principal risque réside dans la surface d’exposition des endpoints. Parce que le protocole repose sur des appels HTTP directs, un acteur malveillant pourrait automatiser des tentatives d’inscription massives si les limites de taux ne sont pas appliquées. De plus, le fichier markdown, bien que lisible, ne garantit pas l’intégrité du contenu ; une compromission du serveur d’hébergement pourrait altérer les règles de validation et introduire des vecteurs d’injection. Enfin, l’absence d’un schéma formel (par exemple OpenAPI) limite la capacité des outils d’analyse statique à détecter des incohérences, ce qui peut freiner l’adoption dans des environnements fortement régulés. Les entreprises doivent donc coupler auth.md à des mécanismes de signature du fichier (ex. SHA‑256 signé) et à des contrôles de débit pour atténuer ces vulnérabilités.