> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

> Découvrez comment configurer la révocation globale des jetons afin que, lorsqu’un IdP en amont met fin à une session, Auth0 révoque toutes les sessions utilisateur existantes.

# Universal Logout

Auth0 prend en charge les intégrations Universal Logout avec Okta Workforce Identity, ce qui déconnecte les utilisateurs des applications lorsqu’un événement administratif ou de sécurité se produit.

Universal Logout implémente la spécification [Global Token Revocation](https://www.ietf.org/archive/id/draft-parecki-oauth-global-token-revocation-02.html), qui va au-delà des normes établies de <Tooltip tip="OpenID : norme ouverte d’authentification qui permet aux applications de vérifier l’identité des utilisateurs sans recueillir ni stocker les renseignements de connexion." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=OpenID">OpenID</Tooltip> Connect back-channel logout en révoquant les <Tooltip tip="OpenID : norme ouverte d’authentification qui permet aux applications de vérifier l’identité des utilisateurs sans recueillir ni stocker les renseignements de connexion." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=refresh+tokens">jetons d’actualisation</Tooltip> en plus des sessions utilisateur. Cette solution complète de logout s’applique aux applications Web traditionnelles, aux applications monopages (SPA) et aux applications natives qui utilisent une combinaison de jetons d’actualisation, de sessions d’application et de sessions du <Tooltip tip="Fournisseur d’identité (IdP) : service qui stocke et gère les identités numériques." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=identity+provider">fournisseur d’identité</Tooltip> pour obtenir de nouveaux jetons et maintenir la connexion de l’utilisateur.

Si vous utilisez les types de connexion [Okta](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/okta), [SAML](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/saml) ou [OpenID Connect](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/oidc) pour vous fédérer avec Workforce Identity, vous n’avez plus besoin de créer un point de terminaison de [révocation globale des jetons](https://developer.okta.com/docs/guides/oin-universal-logout-overview/) pour utiliser Okta Universal Logout. Vous pouvez plutôt fournir à l’administrateur Okta Workforce l’URL du point de terminaison propre à la connexion d’Auth0 et tirer parti de l’[OpenID Connect Back-Channel Logout](/docs/fr-ca/authenticate/login/logout/back-channel-logout) d’Auth0 pour mettre fin aux sessions d’application au besoin.

<div id="how-it-works">
  ## Fonctionnement
</div>

Le point de terminaison de révocation globale des jetons d’Auth0 suit le profil documenté dans [Build Logout for your app](https://developer.okta.com/docs/guides/oin-universal-logout-overview/). Il utilise le format `iss_sub` pour identifier les utilisateurs dans la demande de Logout et l’URL suit le format suivant :

`https://{yourDomain}/oauth/global-token-revocation/connection/{yourConnectionName}`

Lorsqu’Auth0 reçoit une demande visant à déconnecter un utilisateur, il valide la demande à l’aide du même jeu de clés que celui utilisé pour valider les <Tooltip tip="Jeton ID : justificatif destiné au client lui-même, plutôt qu’à l’accès à une ressource." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=ID+tokens">jetons ID</Tooltip> ou les assertions <Tooltip tip="Jeton ID : justificatif destiné au client lui-même, plutôt qu’à l’accès à une ressource." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=SAML">SAML</Tooltip> émises par Okta Workforce Identity. Il met ensuite fin à toutes les [sessions Auth0](/docs/fr-ca/manage-users/sessions/session-layers) de l’utilisateur, révoque les [jetons d’actualisation](/docs/fr-ca/secure/tokens/refresh-tokens) émis par Auth0 et, si cette option est configurée, déclenche [OpenID Connect Back-Channel Logout](/docs/fr-ca/authenticate/login/logout/back-channel-logout) pour révoquer les sessions d’application.

<Frame>
  <img src="https://mintcdn.com/translations/MV7tE-x71x8RWRES/docs/images/cdy7uua7fh8z/4tcRn1VmydyBGORCHlKuvt/725b95df1cddae8ed3b2d36f0c3495bb/universal_logout_flow_diagram.png?fit=max&auto=format&n=MV7tE-x71x8RWRES&q=85&s=77b2ca95188989a68817a759da767331" alt="Flux utilisateur avec Universal Logout" width="2546" height="1376" data-path="docs/images/cdy7uua7fh8z/4tcRn1VmydyBGORCHlKuvt/725b95df1cddae8ed3b2d36f0c3495bb/universal_logout_flow_diagram.png" />
</Frame>

Le temps nécessaire pour qu’un utilisateur perde l’accès à une application dépend du type d’application et de la façon dont elle est intégrée à Auth0. Auth0 prend en charge un large éventail d’[architectures d’application](/docs/fr-ca/get-started/applications) grâce aux normes d’identité OIDC et <Tooltip tip="OAuth 2.0 : cadre d’autorisation qui définit les protocoles et les workflows d’autorisation." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=OAuth+2.0">OAuth 2.0</Tooltip>, ainsi qu’aux [Quickstarts et SDK](/docs/fr-ca/quickstarts) d’Auth0. Cela comprend :

* Les applications Web traditionnelles qui créent leurs propres [sessions d’application](/docs/fr-ca/manage-users/sessions/session-layers) peuvent utiliser des jetons d’actualisation et des <Tooltip tip="Jeton d’accès : justificatif d’autorisation, sous la forme d’une chaîne opaque ou d’un JWT, utilisé pour accéder à une API." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=access+tokens">jetons d’accès</Tooltip> pour accéder aux API via un backend sécurisé.
* Les applications JavaScript exécutées dans le navigateur qui s’appuient sur la [couche de session Auth0](/docs/fr-ca/authenticate/login/configure-silent-authentication) ou utilisent des techniques comme la [rotation des jetons d’actualisation](/docs/fr-ca/secure/tokens/refresh-tokens/refresh-token-rotation) pour obtenir les jetons d’accès nécessaires à l’accès aux API dans un navigateur Web.
* Les applications natives ou mobiles qui ne s’exécutent pas dans un navigateur Web et qui utilisent les jetons d’actualisation et les jetons d’accès comme principal moyen de garder les utilisateurs connectés.

<div id="revoke-refresh-tokens-and-auth0-user-sessions">
  ### Révoquer les jetons d’actualisation et les sessions utilisateur d’Auth0
</div>

Les applications qui utilisent des jetons d’actualisation ou la session Auth0 bénéficient des avantages de sécurité suivants lorsque l’intégration Universal Logout est activée :

* Pour les applications basées sur le navigateur qui utilisent [la session Auth0](/docs/fr-ca/authenticate/login/configure-silent-authentication), l’utilisateur perd l’accès la prochaine fois que l’application [interroge la session Auth0](/docs/fr-ca/authenticate/login/configure-silent-authentication#poll-with-checksession-), et Auth0 l’invite à se reconnecter lors de la redirection.
* Pour les applications qui utilisent des jetons d’actualisation, l’utilisateur perd l’accès dès que son jeton d’accès actuel expire, ce délai pouvant aller de quelques secondes jusqu’à la [Maximum Access Token Lifetime](/docs/fr-ca/secure/tokens/access-tokens/update-access-token-lifetime) configurée dans Auth0.

<div id="revoke-application-user-sessions">
  ### Mettre fin aux sessions utilisateur des applications
</div>

Pour les sessions créées par des applications web, utilisez la fonctionnalité [OpenID Connect Back-Channel Logout](/docs/fr-ca/authenticate/login/logout/back-channel-logout/configure-back-channel-logout) déjà offerte par Auth0 afin d’y mettre fin lorsque Universal Logout met fin à la session utilisateur Auth0. Pour en savoir plus, consultez les [exemples de mise en œuvre du SDK Auth0](/docs/fr-ca/authenticate/login/logout/back-channel-logout#auth0-sdks).

<div id="configure-universal-logout-in-auth0">
  ## Configurer Universal Logout dans Auth0
</div>

Configurez Universal Logout en fonction du type de connexion Auth0.

<div id="okta-workforce">
  ### Okta Workforce
</div>

1. [Connectez votre tenant Auth0 à Okta Workforce Identity](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/okta).
2. Dans Auth0 Dashboard, accédez à [**Authentication > Enterprise > Okta Workforce**](https://manage.auth0.com/#/connections/enterprise/okta). Sélectionnez votre connexion, puis choisissez **Settings**.
3. Copiez l’**Revocation Endpoint URL** que vous fournirez à l’administrateur d’Okta Workforce.

<div id="openid-connect">
  ### OpenID Connect
</div>

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  Nous recommandons fortement d’utiliser le type de connexion **Okta Workforce** pour les nouvelles intégrations OpenID Connect. Toutefois, Universal Logout peut tout de même être activé pour les anciennes intégrations au moyen du type de connexion générique OpenID Connect, dans les **Settings** d’OpenID Connect d’Auth0 Dashboard.
</Callout>

1. Dans Auth0 Dashboard, accédez à [**Authentication > Enterprise > OpenID Connect**](https://manage.auth0.com/#/connections/enterprise/oidc)**.** Sélectionnez votre connexion, puis choisissez **Settings**.
2. Copiez la **Revocation Endpoint URL** que vous fournirez à l’administrateur Okta Workforce.

<div id="saml">
  ### SAML
</div>

1. [Configurer Okta comme fournisseur d'identité SAML](/docs/fr-ca/authenticate/protocols/saml/saml-sso-integrations/configure-auth0-saml-service-provider/configure-okta-as-saml-identity-provider).
2. Dans Auth0 Dashboard, accédez à [**Authentication > Enterprise > SAML**](https://manage.auth0.com/#/connections/enterprise/samlp). Sélectionnez votre connexion, puis choisissez **Settings**.
3. Dans **Subject**, entrez l'ID de l’application de l'application SAML enregistrée dans Okta Workforce Identity. Exemple : `0oagcc12354688xxxx`. Pour en savoir plus, consultez [How to Obtain an Application ID](https://support.okta.com/help/s/article/How-to-obtain-an-application-ID?language=en_US).
4. Dans **Issuer**, accédez à l'application SAML enregistrée dans l'organization Okta Workforce Identity et copiez l'[issuer URI](https://developer.okta.com/docs/guides/oin-universal-logout-overview/#endpoint-authentication).

   <Callout icon="file-lines" color="#0EA5E9" iconType="regular">
     Pour obtenir cette valeur, les administrateurs WIC peuvent accéder à la section **Applications** > **Applications > \[Application] > Authentication > Sign-on settings > Sign-on methods > SAML 2.0 > More details** du portail Okta.
   </Callout>
5. Copiez la **Revocation Endpoint URL**, que vous transmettrez à l'administrateur Okta Workforce.

<div id="configure-universal-logout-in-okta-workforce-identity">
  ## Configurer Universal Logout dans Okta Workforce Identity
</div>

Configurez Universal Logout dans Okta Workforce Identity pour envoyer des signaux de déconnexion à l’application au moyen de la connexion Auth0. Cette opération doit être effectuée par un administrateur Okta.

<div id="prerequisites">
  ### Prérequis
</div>

Vous avez besoin de :

* D’une organisation Okta Workforce Identity avec [Identity Threat Protection](https://www.okta.com/products/identity-threat-protection/) activé, ou d’un [essai gratuit](https://www.okta.com/free-trial/).
* L’accès anticipé à Universal Logout pour les applications SAML générique et OIDC doit être activé pour votre organisation Okta Workforce Identity. Pour en savoir plus, consultez [Configurer Universal Logout pour les applications prises en charge](https://help.okta.com/oie/en-us/content/topics/itp/config-universal-logout.htm).

<div id="configure-okta">
  ### Configurer Okta
</div>

Activez Universal Logout dans une [organisation Okta Workforce](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/okta) pour la connexion Auth0.

1. Dans le portail Okta, sélectionnez **Applications** > **Applications**.
2. Sélectionnez l’application que vous avez enregistrée pour l’intégration Auth0.
3. Sous l’onglet **General**, sélectionnez **Logout > Edit**.

   <Frame>
     <img src="https://mintcdn.com/translations/mMSz-RNYLuOm2GmQ/docs/images/cdy7uua7fh8z/M957prYUhjyMxXgpdA8pB/224812ce3a76ac9d032abe50c4be3a1d/2025-01-23_13-03-21.png?fit=max&auto=format&n=mMSz-RNYLuOm2GmQ&q=85&s=9a6beca0f17b1864601366e6082f05f6" alt="Image du tableau de bord Okta pour la configuration de Universal Logout" width="1508" height="1256" data-path="docs/images/cdy7uua7fh8z/M957prYUhjyMxXgpdA8pB/224812ce3a76ac9d032abe50c4be3a1d/2025-01-23_13-03-21.png" />
   </Frame>
4. Choisissez **Okta system or admin initiates logout**.
5. Entrez l’URL copiée d’Auth0 dans **Logout Endpoint URL**.
6. Sélectionnez **Issuer and Subject Identifier** comme valeur de **Subject Format**.
7. Sélectionnez **Save**.

<div id="test-universal-logout">
  ### Tester Universal Logout
</div>

Testez Universal Logout dans Okta Workforce Identity en révoquant les sessions de l’utilisateur sélectionné.

1. Dans le portail Okta, sélectionnez **Directory > People**.
2. Sélectionnez un utilisateur connecté à une application Auth0.
3. Sélectionnez **More Actions > Clear User Sessions**.

   <Frame>
     <img src="https://mintcdn.com/translations/mMSz-RNYLuOm2GmQ/docs/images/cdy7uua7fh8z/Z8an5lN6WAlSAdgiBkKLa/fde264f71615c5eb7e07e0c48d8426bf/2025-01-23_13-08-29.png?fit=max&auto=format&n=mMSz-RNYLuOm2GmQ&q=85&s=310d10373781b912db0120786a5cbc2e" alt="Tester Universal Logout dans le tableau de bord Okta" width="1518" height="1326" data-path="docs/images/cdy7uua7fh8z/Z8an5lN6WAlSAdgiBkKLa/fde264f71615c5eb7e07e0c48d8426bf/2025-01-23_13-08-29.png" />
   </Frame>
4. Dans la boîte de dialogue, sélectionnez **Also include logout enabled apps and Okta API tokens**.
5. Sélectionnez **Clear and Revoke**.

<div id="logs-and-notifications">
  ## Logs et notifications
</div>

Les administrateurs de tenant Auth0 peuvent consulter le statut et les détails de chaque requête de Universal Logout reçue par Auth0 dans [Auth0 Dashboard > Monitoring > Logs](https://manage.auth0.com/#/*/logs). Les types d’événements de log générés pour Universal Logout sont documentés dans [Codes des types d’événements de log](/docs/fr-ca/deploy-monitor/logs/log-event-type-codes).

Vous pouvez aussi intégrer des [flux de logs personnalisés](/docs/fr-ca/customize/log-streams) pour aviser des systèmes externes lorsque des événements de Universal Logout se produisent.

<div id="management-api">
  ## Management API
</div>

Vous pouvez aussi utiliser la [Management API](https://auth0.com/docs/api/management/v2) pour configurer Universal Logout par programmation. C’est utile pour automatiser des configurations ou créer votre propre configuration à l’extérieur de l’<Tooltip tip="Auth0 Dashboard : principal produit d’Auth0 pour configurer vos services." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=Auth0+Dashboard">Auth0 Dashboard</Tooltip>.

Pour Okta Workforce et les connexions OpenID Connect, aucune intervention dans la <Tooltip tip="Management API : produit qui permet aux clients d’effectuer des tâches administratives." cta="Voir le glossaire" href="/docs/fr-ca/glossary?term=Management+API">Management API</Tooltip> n’est requise, car seul le point de terminaison de révocation globale des jetons d’Auth0 doit être présenté à l’administrateur Okta Workforce.

Pour les connexions SAML, en plus de partager l’URL du point de terminaison, Universal Logout doit être configuré en définissant ces attributs sur l’objet `connection` :

* **options.global\_token\_revocation\_jwt\_iss** - L’[ID de l’émetteur](https://developer.okta.com/docs/guides/oin-universal-logout-overview/#endpoint-authentication) de l’application SAML enregistrée dans Okta Workforce Identity. Valeur d’exemple : `http://www.okta.com/exkhwkmkwhZUnuA6xxxx`.
* **options.global\_token\_revocation\_jwt\_sub** - L’[ID de l’application](https://support.okta.com/help/s/article/How-to-obtain-an-application-ID?language=en_US) de l’application SAML enregistrée dans Okta Workforce Identity. Valeur d’exemple : `0oagcc12354688xxxx`.

Vous pouvez utiliser ces attributs dans des appels à la Management API pour [mettre à jour](https://auth0.com/docs/api/management/v2#!/Connections/patch_connections_by_id) ou [créer](https://auth0.com/docs/api/management/v2/connections/post-connections) des connexions SAML. Consultez l’exemple JSON suivant pour créer une requête :

```json JSON lines theme={null}
{
	"strategy": "samlp",
  	"name": "CONNECTION_NAME",
  	"options": {
    	"global_token_revocation_jwt_iss": "ISS_VALUE", 
     	"global_token_revocation_jwt_sub":  "SUB_VALUE",
    	"signInEndpoint": "SIGN_IN_ENDPOINT_URL",
    	"signOutEndpoint": "SIGN_OUT_ENDPOINT_URL",
    	"signatureAlgorithm": "rsa-sha256",
    	"digestAlgorithm": "sha256",
    	"fieldsMap": {
     		...
    	},
    	"signingCert": "BASE64_SIGNING_CERT"
  	}
}
```

Pour en savoir plus, consultez [Créer une connexion d’entreprise à l’aide de la Management API](/docs/fr-ca/authenticate/identity-providers/enterprise-identity-providers/saml#create-an-enterprise-connection-using-the-management-api).