Votre entreprise SaaS expose de nombreux services web et requiert : un accès via API Management, une authentification OpenID Connect et aucune requête anonyme. Un audit de sécurité a révélé que certains services autorisent les appels non authentifiés. Quelle politique API Management devriez-vous ajouter pour appliquer les jetons OpenID Connect et bloquer les requêtes anonymes ?

La politique validate-jwt est la solution correcte car elle est spécifiquement conçue pour valider les jetons JWT (JSON Web Tokens), qui sont le format standard utilisé avec OpenID Connect pour l'authentification. Cette politique permet de vérifier la signature du jeton, son émetteur (issuer), son audience (audience), sa durée de validité et d'autres revendications (claims) essentielles, garantissant ainsi que seules les requêtes authentifiées et valides sont traitées. Elle bloque implicitement les requêtes anonymes car l'absence d'un jeton JWT valide entraînera un échec de validation. Les autres options sont incorrectes : jsonp est une politique pour ajouter un support JSONP aux opérations d'API, sans rapport avec l'authentification. authentication-certificate est utilisée pour l'authentification par certificat client, pas par OpenID Connect/JWT. check-header permet de vérifier la présence ou la valeur d'un en-tête HTTP, mais ne valide pas le contenu cryptographique d'un jeton JWT.