WorkOS dévoile auth.md, un protocole ouvert pour l'inscription des agents IA

La plupart des applications web n'offrent aucun moyen structuré à un agent IA pour s'inscrire et obtenir un accès. WorkOS propose une solution : auth.md, un protocole ouvert fondé sur OAuth qui simplifie l'intégration des agents sans remplissage manuel de formulaires.

Le problème que résout auth.md

Aujourd'hui, un développeur qui veut connecter un agent IA à une application doit remplir à la main un formulaire d'inscription, préciser les permissions et obtenir une clé d'API. L'agent ne peut pas le faire automatiquement : il n'existe aucun moyen standard de savoir quels flux le service prend en charge, quelles permissions il exige et comment obtenir des identifiants liés à un utilisateur réel.

Cela devient un goulot d'étranglement à grande échelle. Chaque nouvel agent nécessite une configuration manuelle, et les développeurs doivent écrire des intégrations sur mesure pour chaque application et tenir la documentation à jour.

auth.md change la donne. C'est un simple fichier Markdown que l'application publie sur son propre domaine (par exemple, example.com/auth.md). Il contient tout ce dont l'agent a besoin pour s'inscrire seul :

• Les méthodes prises en charge (OAuth 2.0, clés d'API, mTLS et autres)
• Les scopes et permissions requis selon les cas d'usage
• Les endpoints pour obtenir des identifiants et des jetons de longue durée
• Des exemples de code et des recommandations pour démarrer vite
• Des informations sur les limites de débit (rate limits), les quotas et la durée de validité des jetons

Comment cela fonctionne en pratique

Lorsqu'un agent IA doit s'intégrer à une application, il se rend sur son domaine, trouve auth.md et lit les instructions. Il lance ensuite automatiquement le processus d'inscription approprié, demande les permissions nécessaires et reçoit un jeton ou une clé d'API liés à un utilisateur réel. Aucun humain n'a rien à remplir à la main : tout le processus se déroule de manière programmatique.

Par exemple, si un agent se connecte à un service de messagerie, il peut demander précisément les permissions dont il a besoin (lire les messages, envoyer des réponses), sans accès aux autres fonctions (supprimer des messages, modifier les paramètres du compte). Chaque permission est indiquée explicitement dans auth.md : l'utilisateur voit ce que demande l'agent et peut approuver ou refuser.

WorkOS a choisi Markdown plutôt que JSON ou XML, car ce format est facile à lire et à modifier, aussi bien pour les développeurs que pour les agents IA. Un fichier Markdown se versionne en outre facilement dans git, permet de suivre les modifications, d'ajouter des commentaires et de se mettre à jour sans redéployer l'application.

Ce que cela signifie pour l'écosystème

auth.md est un pas vers la standardisation de l'intégration des agents IA dans l'écosystème web. Si le protocole obtient un soutien suffisant parmi les grands services, les agents IA pourront s'inscrire seuls dans des centaines d'applications, sans intervention manuelle des développeurs. Cela accélérerait nettement l'automatisation des tâches routinières.

De nouvelles questions de sécurité se posent toutefois : comment empêcher les accès non autorisés via des agents ? Comment gérer les permissions si l'inscription est entièrement automatique ? WorkOS compte sur le fait que la standardisation ouverte facilitera la discussion au sein de la communauté et aidera à élaborer de bonnes pratiques pour une inscription automatique et sûre des agents.