Configurer Flexible Password Policy pour les connexions de base de données d’Auth0

Utilisez Flexible Password Policy pour définir la robustesse et les règles de composition des mots de passe pour les connexions de base de données d’Auth0.

La fonctionnalité Flexible Password Policy remplace les politiques de mot de passe héritées afin d’offrir une granularité accrue et davantage d’options de configuration.

Politique	Comportement hérité	Comportement de Flexible Password Policy
Force du mot de passe	Choisissez parmi cinq niveaux de complexité prédéfinis. Tronque silencieusement les mots de passe qui dépassent la longueur maximale.	Personnalisez indépendamment toutes les exigences de complexité. Choisissez le comportement à adopter pour les mots de passe qui dépassent la longueur maximale (tronquer ou renvoyer une erreur).
Historique des mots de passe	Configurez le nombre de mots de passe précédents qu’un utilisateur ne peut pas réutiliser, jusqu’à un maximum de 24.	Conserve une fonctionnalité équivalente.
Dictionnaire de mots de passe	Utilise un dictionnaire intégré de 10 000 mots courants.	Choisissez entre deux dictionnaires intégrés de 10 000 ou 100 000 mots courants.
Bloquer les données personnelles	Bloque un ensemble fixe de champs de données utilisateur.	Personnalisez entièrement les champs à bloquer, jusqu’à 12.

Dans le schéma de configuration de la Management API pour les connexions de base de données, Flexible Password Policy remplace également les objets et attributs options des politiques de mot de passe héritées par un seul objet configurable, options.password_options.

​

Prérequis

Les conditions suivantes doivent être remplies pour utiliser la fonctionnalité Flexible Password Policy :

• Vous devez utiliser une connexion de base de données avec le répertoire d’utilisateurs d’Auth0 ("strategy": "auth0").

• Le tenant doit utiliser Universal Login.

• Le tenant ne doit pas avoir d’écran personnalisé de réinitialisation du mot de passe configuré.

• Si vous utilisez la Management API, votre jeton d’accès doit avoir les portées read:connections et update:connections. Sans celles-ci, vous ne pouvez pas récupérer ni modifier, respectivement, la configuration de la connexion de base de données.

​

Activer la Flexible Password Policy

Vous pouvez activer la Flexible Password Policy à partir de l’Auth0 Dashboard ou à l’aide de la Management API.

Auth0 Dashboard

Pour activer la Flexible Password Policy dans l’Auth0 Dashboard :

1. Accédez à Auth0 Dashboard > Authentication > Database, puis sélectionnez le nom de la connexion que vous souhaitez modifier.

2. Sélectionnez l’onglet Méthodes d’authentification. Ensuite, dans la section Mot de passe, sélectionnez Configurer pour ouvrir le panneau Mot de passe.

3. Dans la bannière Flexible Password Policy en haut de la page, sélectionnez Activer, puis Confirmer.

Cette opération convertit les politiques de mot de passe existantes de votre connexion de base de données de l’ancienne configuration vers la configuration Flexible Password Policy, puis vous ramène à l’onglet Méthodes d’authentification.

Le panneau Méthodes d’authentification > Mot de passe > Configurer affiche maintenant les options de configuration de la Flexible Password Policy dans trois sections : Politique, Composition et Sécurité.

Paramètres de la politique

La section Politique contient les paramètres suivants :

• Mot de passe pour la connexion : Autoriser ou empêcher les utilisateurs de se connecter avec un mot de passe.

• Mot de passe à l’inscription : Autoriser ou empêcher les utilisateurs de s’inscrire avec un mot de passe.

• Modification de mot de passe en libre-service : Autoriser ou empêcher les utilisateurs de modifier leur propre mot de passe.

• Prendre en charge les utilisateurs sans mot de passe : Utilisez la bascule pour indiquer si des utilisateurs peuvent être créés sans mot de passe au moyen des API Management et Authentication.

Paramètres de composition

La section Composition contient les paramètres suivants :

• Longueur minimale du mot de passe : Saisissez la longueur minimale du mot de passe.

• Règles de composition supplémentaires

  • Options de mot de passe requises : Au moins une lettre majuscule, au moins une lettre minuscule, au moins un chiffre, au moins un caractère spécial et/ou au moins 3 des 4 types de caractères précédents.

  • Bloquer trois caractères séquentiels ou plus, comme ABC ou 321

  • Bloquer trois caractères identiques ou plus de suite, comme 000

  • Longueur maximale du mot de passe dépassée : Pour les mots de passe de plus de 72 octets, choisissez entre Truncate password (autoriser les mots de passe plus longs, mais ne chiffrer que les 72 premiers octets) ou Show error (refuser les mots de passe de plus de 72 octets).

Paramètres de sécurité

La section Sécurité contient les paramètres suivants :

• Historique des mots de passe : Empêcher la réutilisation des mots de passe.

  • Taille de l’historique des mots de passe : Choisissez le nombre de mots de passe précédents que les utilisateurs ne peuvent pas réutiliser.

• Dictionnaire de mots de passe : Empêcher les utilisateurs d’utiliser des mots de passe figurant dans le dictionnaire spécifié ou dans vos entrées de dictionnaire supplémentaires.

  • Dictionnaire par défaut : Choisissez entre les dictionnaires 10,000 common words ou 100,000 common words.

  • Entrées de dictionnaire supplémentaires : Saisissez des mots de passe interdits supplémentaires, un par ligne.

• Bloquer les données du profil dans les mots de passe : Empêcher les utilisateurs de définir des mots de passe contenant les données du profil de l’utilisateur.

  • Sélectionnez les champs du profil à bloquer : Choisissez parmi huit champs par défaut courants à bloquer.

  • Champs du profil supplémentaires à bloquer : Saisissez des champs du profil supplémentaires à bloquer.

Après avoir modifié ces paramètres, cliquez sur Enregistrer.

Management API

Dans la configuration de votre connexion de base de données, l’objet options contient les paramètres de sa politique de mot de passe. Flexible Password Policy remplace les objets et attributs de mot de passe Legacy dans options par un seul objet (options.password_options) qui offre des paramètres plus précis.

Pour activer Flexible Password Policy à l’aide de la Management API :

1. Obtenir la configuration actuelle de la connexion de base de données

   Commencez par obtenir la configuration actuelle de votre connexion de base de données à l’aide du point de terminaison Get a connection.

   Enregistrez l’intégralité de la configuration renvoyée dans la réponse. Vous pouvez consulter le schéma du corps de la réponse dans la documentation du point de terminaison.

2. Remplacer les paramètres Legacy par ceux de Flexible Password Policy

   Dans l’objet options de la configuration, supprimez les objets et valeurs de mot de passe Legacy suivants, puis ajoutez un seul objet password_options avec la configuration Flexible Password Policy souhaitée.

   Attribut options Legacy	Attribut options de Flexible Password Policy
   password_complexity_options	password_options.complexity
   password_history	password_options.history
   password_no_personal_info	password_options.profile_data
   password_dictionary	password_options.dictionary
   passwordPolicy	Supprimé

   Par exemple, les deux configurations de mot de passe options suivantes sont équivalentes :

   Exemple de politique de mot de passe Legacy

   "password_history": {
       "enable": true,
       "size": 5
   },
   "password_dictionary": {
       "enable": true,
       "dictionary": [
           "badPassword",
           "reallyBadPassword"
       ]
   }
   

   Exemple de Flexible Password Policy

   "password_options": {
       "history": {
           "active": true,
           "size": 5
       },
       "dictionary": {
           "active": true,
           "default": "en_10k",
           "custom": [
               "badPassword",
               "reallyBadPassword"
           ]
       }
   }
   

   Vous pouvez consulter le schéma complet de l’objet password_options dans la référence de l’API (par exemple, dans les paramètres du corps du point de terminaison Update a connection).

3. Mettre à jour d’autres paramètres de mot de passe au besoin

   Les autres attributs de mot de passe à l’extérieur de l’objet password_options restent inchangés, mais sont visibles dans les paramètres de Flexible Password Policy de l’Auth0 Dashboard :

   Attribut options de la Management API	Paramètre de l’Auth0 Dashboard
   authentication_methods.password.enabled	Policy > Mot de passe pour la connexion
   authentication_methods.password.signup_behavior	Policy > Mot de passe à l’inscription
   authentication_methods.password.api_behavior	Policy > Prise en charge des utilisateurs sans mot de passe
   disable_self_service_change_password	Policy > Changement de mot de passe en libre-service

   Vous pouvez aussi mettre à jour ces attributs pour modifier votre configuration.

4. Mettre à jour la connexion de base de données

   Mettez à jour votre connexion de base de données avec le point de terminaison Update a connection.

   Ce point de terminaison remplace la configuration existante par celle que vous envoyez. Assurez-vous donc d’inclure l’objet modifié au complet dans votre requête PATCH afin de préserver les autres paramètres de votre connexion de base de données.

Vous pouvez vérifier la mise à jour en récupérant de nouveau la configuration de votre connexion de base de données avec le point de terminaison Get a connection. Si la réponse contient l’objet options.password_options, Flexible Password Policy est activée pour cette connexion de base de données.

​

Rétablir les politiques de mot de passe héritées

Pour revenir aux politiques de mot de passe héritées, vous devez utiliser la Management API.

Suivez le même processus que ci-dessus pour mettre à jour la connexion de base de données avec ses options d’origine, en supprimant entièrement l’objet password_options.