Fondée en avril 2022 par Rishi Bhargava, Slavik Markovich, Dan Sarel, Meir Wahnon, Doron Sharon, Guy Rinat, Aviad Lichtenstadt et Gilad Shriki, l’entreprise israélienne Descope vient de lever 53 M$ de fonds d'amorçage, qui comprennent des investissements de Dell Technologies, du CEO de Crowdstrike, George Kurtz, et du CEO de Rubrik, Bipul Sinha. Sa plateforme doit aider les développeurs à ajouter des fonctions d'authentification et de gestion des utilisateurs à leurs applications aussi bien BtoC que BtoB. Disponible dès maintenant, le logiciel SaaS est accessible gratuitement aux développeurs jusqu'à 7 500 utilisations mensuelles actives pour les applications B2C et jusqu'à 50 locataires pour les applications B2B. Au-delà, ils devront payer 0,10 dollars par utilisateur et 20 dollars par locataire. Selon Descope, la plateforme facilite la mise en place d'une authentification sans mot de passe.

Descope affirme que son dernier produit permet aux entreprises de :

- Créer des flux d'authentification et des écrans pour l’utilisateur final à l'aide d'un concepteur de flux visuel ;

- Ajouter de manière transparente différentes méthodes d'authentification sans mot de passe à des applications du genre Magic link, de biométrie et de clés d’accès (basées sur WebAuthn), des applications d'authentification et des identifiants de réseaux sociaux ;

- Valider, fusionner et gérer les identités tout au long du parcours de l'utilisateur ;

- Préparer ses applications professionnelles pour l'entreprise grâce à l'authentification unique (Single Sign-On, SSO), au contrôle d'accès, à la gestion des locataires et au provisionnement automatisé des utilisateurs ;

- Améliorer la protection des utilisateurs en activant facilement l'authentification multifactorielle (MFA), l'authentification par paliers ou l'authentification biométrique dans les applications.

Gérer les identités avec Descope

La plateforme de Descope propose différentes options d'intégration : un constructeur de flux de travail et un éditeur d'écran sans code, un ensemble de SDK client et backend, et des API REST complètes.

Les développeurs qui créent des flux d'authentification avec Descope pourront choisir différentes manières de valider les identités, notamment en confirmant l'adresse de messagerie des utilisateurs, leur numéro de téléphone ou tout autre identifiant choisi via des liens magiques - ou Magic link - à usage unique envoyés par courriel, ou de mots de passe à usage unique. La validation de l'identité peut également se faire par le biais de fournisseurs d'identité d'entreprise, notamment Azure Active Directory et Okta. Une fonction permet également de fusionner les identités quand un utilisateur s’identifie, par exemple, en utilisant une méthode et, à une autre occasion, en choisit une autre. Certains systèmes créent deux comptes différents pour le même utilisateur, ce qui peut entraîner une perte de données. « Descope garantit que, si un utilisateur s’identifie avec une nouvelle méthode d'authentification, son identité est fusionnée avec toutes les inscriptions utilisant d'autres méthodes d'authentification après validation de l'identité. Les applications disposent ainsi d'une vue unifiée de leurs utilisateurs et ces derniers bénéficient d'une bien meilleure expérience », a expliqué Rishi Bhargava, le cofondateur de Descope.

Moins d’options pour casser l'authentification

Très souvent, c’est en s’appuyant sur des comptes utilisateurs compromis que les attaquants parviennent à s’introduire dans les systèmes des entreprises. Comme beaucoup d'autres fournisseurs, Descope mise sur l'augmentation de la sécurité en utilisant d'autres méthodes d'authentification. Cette multiplication des verrous limite les options des attaquants, car elle empêche les attaques par force brute, le bourrage d’identifiants et la pulvérisation de mots de passe. La solution utilise également l'empreinte digitale des terminaux et plusieurs autres facteurs pour savoir si les utilisateurs se connectent à partir d'un nouvel appareil, d'un lieu inhabituel, etc. Les développeurs d'applications peuvent choisir d'ajouter une authentification renforcée dans ces cas et demander un facteur d'authentification supplémentaire. Descope mise sur le passage à l'authentification sans mot de passe des géants de la technologie comme Apple, Google et Microsoft, mais aussi sur le risque que les mots de passe continuent de représenter pour la sécurité des entreprises.

« Descope prétend simplifier et accélérer la mise en œuvre de méthodes diversifiées d'authentification sans mot de passe pour les développeurs d'applications. L'authentification et la gestion des utilisateurs sont complexes et longues à mettre en œuvre », a expliqué M. Bhargava. « Ce qui ressemble au départ à un simple poste de dépense se transforme souvent en investissements pluriannuels. Construire et maintenir l'authentification en interne retarde le temps de mise sur le marché d'une application, distrait les développeurs de leur travail prioritaire et peut conduire à des failles de sécurité », a ajouté le cofondateur de Descope.