Déconnecter des utilisateurs d’Auth0 avec le point de terminaison OIDC Logout

Découvrez comment déconnecter des utilisateurs au moyen du point de terminaison de logout, qui met fin à la session SSO et renvoie le navigateur vers l’URL de logout de l’application.

Auth0 implémente OpenID Connect RP-Initiated Logout 1.0 pour la déconnexion de l’utilisateur final. Cette norme fait partie de l’ensemble des spécifications finales d’OpenID Connect.

​

Fonctionnement

RP-Initiated Logout est un scénario dans lequel une partie de confiance (utilisateur) demande au fournisseur OpenID (Auth0) de mettre fin à sa session.

1. L’utilisateur lance une demande de déconnexion dans votre application.
2. Votre application redirige l’utilisateur vers le point de terminaison OIDC Logout de l’API d’authentification Auth0.
3. Auth0 redirige l’utilisateur vers la destination appropriée selon les paramètres du point de terminaison OIDC Logout fournis.

​

Configurer RP-Initiated Logout

Pour configurer RP-Initiated Logout, vous devez vous assurer que votre application peut trouver le paramètre end_session_endpoint dans le document de métadonnées de découverte de votre tenant Auth0 et qu’elle appelle le point de terminaison OIDC Logout avec les paramètres nécessaires.

​

Activer la découverte du point de terminaison

Pour les tenants Auth0 créés le 14 novembre 2023 ou après cette date, RP-Initiated Logout End Session Endpoint Discovery est activé par défaut.

Vous pouvez activer RP-Initiated Logout End Session Endpoint Discovery dans le Auth0 Dashboard ou au moyen de la Management API d’Auth0.

Dashboard

Pour activer RP-Initiated Logout End Session Endpoint Discovery dans le Dashboard :

1. Accédez à Dashboard > Paramètres > Avancé.
2. Repérez la section Login and Logout.
3. Activez la bascule RP-Initiated Logout End Session Endpoint Discovery.

Management API

Pour activer RP-Initiated Logout End Session Endpoint Discovery avec la Management API :

1. Obtenez un jeton d’accès pour la Management API qui inclut la portée update:tenant_settings.

2. Appelez le point de terminaison Update tenant settings de la Management API avec la charge utile suivante :

   JSON

   {
     "oidc_logout": {
       "rp_logout_end_session_endpoint_discovery": true
     }
   }
   

​

Appeler le point de terminaison OIDC Logout

La plupart des bibliothèques SDK d’Auth0 sont conformes à OIDC et prennent en charge RP-Initiated Logout d’emblée.

Lorsque vous appelez le point de terminaison OIDC Logout, Auth0 recommande de fournir le paramètre id_token_hint.

Si votre application ne peut pas stocker les jetons d’identité de façon sécurisée, vous pouvez plutôt fournir les paramètres logout_hint et client_id.

Vous pouvez appeler le point de terminaison OIDC Logout avec des renseignements redondants.

Par exemple, vous pouvez envoyer les paramètres id_token_hint et logout_hint, ou les paramètres id_token_hint et client_id.

Dans tous les cas, Auth0 vérifie la cohérence des données de l’utilisateur et de la session, et renvoie une erreur en cas de divergence.

​

Paramètres du point de terminaison OIDC Logout

Le point de terminaison OIDC Logout de l’API d’authentification prend en charge les paramètres suivants :

Paramètre	Obligatoire ?	Description
id_token_hint	Recommandé	ID token précédemment émis pour l’utilisateur. Il indique quel utilisateur déconnecter.
logout_hint	Facultatif	Valeur de l’ID de session (sid) qui indique quel utilisateur déconnecter.
post_logout_redirect_uri	Facultatif	Valeur de l’URL de redirection qui indique où rediriger l’utilisateur après la déconnexion.
client_id	Facultatif	ID client de votre application.
federated	Facultatif	Indique à Auth0 de déconnecter l’utilisateur de son fournisseur d’identité.
state	Facultatif	Valeur opaque que l’application ajoute à la requête de logout initiale et qu’Auth0 inclut lors de la redirection de l’utilisateur vers le post_logout_redirect_uri.
ui_locales	Facultatif	Liste de locales séparées par des espaces, utilisée pour limiter la liste des langues de la requête. La première locale de la liste doit correspondre à la locale activée dans votre tenant.

​

paramètre id_token_hint

Auth0 recommande d’utiliser le paramètre id_token_hint lorsque vous appelez le point de terminaison OIDC Logout.

La valeur du paramètre id_token_hint doit être l’ID token qu’Auth0 a émis pour l’utilisateur après son authentification.

L’ID token contient, à des fins de vérification, les claims enregistrés suivants : l’émetteur (iss), l’audience (aud) et l’ID de session Auth0 (sid). Pour en savoir plus sur les claims de l’ID token, consultez Structure de l’ID token.

Exemples

​

paramètre logout_hint

La valeur du paramètre logout_hint doit correspondre à l’ID de session (sid) de la session Auth0 actuelle de l’utilisateur.

L’ID de session (sid) figure comme claim enregistré dans l’ID token qu’Auth0 a émis à l’utilisateur après son authentification.

Vous devez utiliser l’ID de session (sid) associé à l’ID token émis par Auth0 au début de la session en cours. Auth0 ignore les requêtes dont les valeurs sont aléatoires ou ne correspondent pas aux données de la session en cours.

Exemple

​

Paramètre post_logout_redirect_uri

La valeur du paramètre post_logout_redirect_uri doit être une URL valide et encodée qui a été enregistrée dans la liste des Allowed Logout URLs de votre :

1. Paramètres de l’application : si vous fournissez le paramètre id_token_hint, ou les paramètres logout_hint et client_id.
2. Paramètres du tenant : si vous fournissez uniquement le paramètre logout_hint.

Exemple

Mettre à jour les Allowed Logout URLs de l’application

Vous pouvez enregistrer une URL dans la liste des Allowed Logout URLs de votre application dans l’Auth0 Dashboard ou au moyen de l’Auth0 Management API.

Dashboard

Pour enregistrer une URL dans la liste des Allowed Logout URLs de votre application dans le Dashboard :

1. Accédez à Dashboard > Applications > Applications.
2. Sélectionnez votre application.
3. Repérez la section Application URIs.
4. Mettez à jour les Allowed Logout URLs en suivant les consignes fournies.

Management API

Lorsque vous appelez le point de terminaison Update a client de la Management API, toutes les données de configuration existantes des champs fournis dans le corps de la requête sont écrasées.

Pour éviter toute perte accidentelle de données, appelez d’abord le point de terminaison Get a client de la Management API afin de récupérer les données de configuration actuelles de votre application.

Pour enregistrer une URL dans la liste des Allowed Logout URLs de votre application avec la Management API :

1. Obtenez un jeton d’accès à la Management API qui comprend les portées update:clients.
2. Appelez le point de terminaison Update a client de la Management API et assurez-vous d’inclure l’URL dans la valeur du champ allowed_logout_urls du corps de la requête.

Mettre à jour les Allowed Logout URLs du tenant

Vous pouvez enregistrer une URL dans la liste des Allowed Logout URLs de votre tenant dans l’Auth0 Dashboard ou à l’aide de l’Auth0 Management API.

Dashboard

Pour enregistrer une URL dans la liste des Allowed Logout URLs de votre tenant dans le Dashboard :

1. Accédez à Dashboard > Paramètres > Avancé.
2. Repérez la section Login and Logout.
3. Mettez à jour les Allowed Logout URLs en suivant les consignes fournies.

Management API

Lorsque vous envoyez une requête au point de terminaison Update tenant settings de la Management API, cela remplace toutes les données de configuration existantes pour les champs fournis dans le corps de la requête.

Pour éviter toute perte accidentelle de données, envoyez d’abord une requête au point de terminaison Get tenant settings de la Management API afin de récupérer les données de configuration actuelles de votre tenant.

Pour enregistrer une URL dans la liste des Allowed Logout URLs de votre tenant à l’aide de la Management API :

1. Obtenez un jeton d’accès pour la Management API qui comprend les portées update:tenant_settings.
2. Envoyez une requête au point de terminaison Update tenant settings de la Management API, et assurez-vous d’inclure l’URL dans la valeur du champ allowed_logout_urls du corps de la requête.

Consignes relatives aux Allowed Logout URLs

Lorsque vous mettez à jour les Allowed Logout URLs, suivez les consignes ci-dessous pour éviter les erreurs de validation :

• Séparez plusieurs URL par une virgule (,).
• Incluez le schéma de l’URL (par exemple, https://).

Vous pouvez utiliser un astérisque (*) comme caractère générique pour les sous-domaines (par exemple, https://*.example.com), mais nous vous recommandons de ne pas utiliser de caractères génériques dans les environnements de production. Pour en savoir plus, consultez Subdomain URL Placeholders.

Ajouter des paramètres de la chaîne de requête à post_logout_redirect_uri

Le point de terminaison OIDC Logout analyse les paramètres de la chaîne de requête dans l’URL fournie au paramètre post_logout_redirect_uri.

Vous devez inclure l’URL exacte avec les paramètres de la chaîne de requête dans vos Allowed Logout URLs, sinon la requête de logout sera refusée. L’URL doit correspondre exactement, y compris tous les noms et toutes les valeurs des paramètres de requête.

Par exemple, si vous transmettez https://example.com/logout?myParam=1234 au paramètre post_logout_redirect_uri (encodé sous la forme https%3A%2F%2Fexample.com%2Flogout%3FmyParam%3D1234), vous devez inclure l’URL complète https://example.com/logout?myParam=1234 dans vos Allowed Logout URLs.

Les valeurs dynamiques des paramètres de requête ne sont pas prises en charge. Chaque combinaison unique de noms et de valeurs de paramètres de requête doit être enregistrée comme une entrée distincte dans vos Allowed Logout URLs.

​

paramètre ui_locales

La valeur du paramètre ui_locales doit être une liste de locales prises en charge, séparées par des espaces.

La première valeur de la liste doit correspondre au réglage Langue par défaut de votre tenant.

​

paramètre federated

Le paramètre federated ne nécessite aucune valeur.

Si vous incluez le paramètre federated lorsque vous envoyez une requête au point de terminaison OIDC Logout, Auth0 tente de déconnecter l’utilisateur de son fournisseur d’identité.

​

Invite de consentement à la déconnexion

La norme OIDC prévoit que le flux de déconnexion doit être interrompu afin de demander le consentement de l’utilisateur si le fournisseur OpenID ne peut pas vérifier que la request a bien été effectuée par l’utilisateur.

Auth0 applique ce comportement en affichant une invite de consentement à la déconnexion s’il détecte l’une des conditions suivantes :

• Ni le paramètre id_token_hint ni le paramètre logout_hint n’est fourni.
• Le claim sid du ID token ne correspond pas à la session du navigateur dans la request.
• La valeur du paramètre logout_hint ne correspond pas aux données de la session en cours.

Si l’utilisateur confirme la request de déconnexion, Auth0 poursuit le flux de déconnexion.

​

Désactiver l’invite de consentement à la déconnexion

Vous pouvez désactiver l’invite de consentement à la déconnexion. Si vous le faites, Auth0 ne tentera pas de détecter de comportement anormal et acceptera automatiquement les requêtes de déconnexion.

Pour désactiver l’invite de consentement à la déconnexion dans le Dashboard :

1. Accédez à Dashboard > Paramètres > Avancé.

2. Désactivez la bascule Show RP-Initiated Logout End-User Confirmation.

   

​

En savoir plus

• Déconnecter les utilisateurs des applications
• Déconnecter les utilisateurs des fournisseurs d’identité
• Déconnecter les utilisateurs des fournisseurs d’identité SAML
• Rediriger les utilisateurs au moyen de la déconnexion alternative