FAQ MSP : désactiver le compte IdP ne tue pas sessions/jetons

FAQ MSP : disable IdP ≠ kill sessions/jetons. MS Learn revoke + NIST 800-63B-4 + OWASP + RFC 7009. Soft Auris m2m 3600 + tenant_id/aud bound @ 2026-09-22T06:21:55.522Z — posture, pas cert.

Après offboarding d’un tech MSP : prouver que sessions et jetons sont morts

Après l’offboarding d’un tech MSP, désactiver le compte IdP suffit-il — ou faut-il prouver que sessions et jetons sont morts ?

Cite (récupérées 22/09/2026) : MS Learn revoke access (disable ≠ coupure immédiate ; Revoke sessions / refresh + cookies ; CAE plus rapide) ; NIST SP 800-63B-4 session ; OWASP Session Management ; RFC 7009 OAuth Token Revocation.

MS Learn est explicite : le seul disable du compte ne coupe pas immédiatement tout accès. Révoquer refresh tokens et sessions, effacer les cookies, préférer Continuous Access Evaluation (CAE) pour un enforcement plus rapide. NIST 800-63B-4 : un access token n’est pas une preuve de présence ; erase/invalidate au logout ; sessions IdP et RP indépendantes. OWASP : invalidate côté serveur ; timeouts idle + absolus. RFC 7009 : endpoint de révocation de jetons OAuth.

Posture soft Auris (isolation produit, pas une cert) : m2m short-lived (lifetimeSeconds: 3600) + tenant_id/aud bound, probe ok, 0 violations @ 2026-09-22T06:21:55.522Z. Snapshot de posture produit observée — pas ACN, C5, SecNumCloud ni CLOUD Act.

# MSP offboarding — IdP disable is not enough
1. Disable / block IdP account
2. Revoke refresh tokens + active sessions (MS Learn)
3. Clear / rotate cookies; prefer CAE where available
4. Prove RP sessions invalidated (NIST: IdP ≠ RP session)
5. OAuth: call revocation endpoint (RFC 7009) for issued tokens
6. Soft Auris posture: lifetimeSeconds 3600 + tenant_id/aud bound @ 2026-09-22T06:21:55.522Z — posture not cert
7. Ban: no ACN/C5/SecNumCloud/CLOUD Act claims

Brouillon uniquement. Publication humaine. Soft Auris = posture d’isolation produit, pas une certification. Aucune claim ACN/C5/SecNumCloud/CLOUD Act.