Meilleures pratiques pour Multiple Custom Domains

Meilleures pratiques pour mettre en œuvre et gérer plusieurs domaines personnalisés dans Auth0.

Pour mettre en œuvre efficacement Multiple Custom Domains (MCD), il faut planifier soigneusement et suivre les meilleures pratiques. En appliquant ces recommandations, vous pouvez assurer l’évolutivité, maintenir un niveau de sécurité élevé et offrir une expérience cohérente de votre image de marque sur tous vos domaines personnalisés.

Ce guide présente les meilleures pratiques en matière de planification, de sécurité, de performance, d’exploitation et d’expérience utilisateur lors de l’utilisation de plusieurs domaines personnalisés.

​

Vérifier la propriété des domaines

Assurez-vous d’être prêt à vérifier la propriété de vos domaines personnalisés rapidement. Laisser des domaines non vérifiés trop longtemps peut encombrer votre espace et compliquer le processus de gestion.

​

Planification et architecture

​

Choisir une stratégie de domaine

Avant de mettre en œuvre MCD, déterminez votre stratégie de domaine :

• Par image de marque : des domaines personnalisés distincts pour chaque image de marque (p. ex., login.brand1.com, login.brand2.com)
• Par région : des domaines régionaux pour des raisons de conformité ou de performance (p. ex., login.us.example.com, login.eu.example.com)
• Par client : des domaines dédiés pour les clients d’entreprise (p. ex., login.customer1.com, login.customer2.com)
• Hybride : une combinaison de stratégies (p. ex., image de marque + région : login-us.brand1.com)

​

Configurer un domaine par défaut

Configurez toujours un domaine personnalisé par défaut pour :

• Simplifier la configuration des applications qui n’ont pas besoin d’un comportement propre à un domaine
• Offrir une solution de secours pour les notifications par courriel
• Réduire la nécessité de préciser explicitement le domaine dans les appels d’API

Bonne pratique : utilisez un domaine générique ou administratif comme domaine par défaut (p. ex., login.company.com ou admin.company.com) plutôt qu’un domaine propre à l’image de marque.

​

Prévoir l’évolutivité

Tenez compte de la croissance future lors de la conception de votre architecture MCD :

• Documentez l’attribution des domaines : conservez une documentation claire indiquant quelles applications utilisent quels domaines
• Réservez des schémas de domaine : enregistrez les domaines dont vous pourriez avoir besoin à l’avenir
• Surveillez les limites : suivez votre nombre de domaines par rapport aux limites autorisées
• Prévoyez l’expansion : concevez votre architecture de manière à pouvoir ajouter d’autres domaines

​

Utilisez les métadonnées pour mieux vous organiser

Profitez des champs de métadonnées disponibles pour chaque domaine personnalisé afin de faciliter la gestion et la personnalisation :

Champs de métadonnées recommandés :

• brand: Identifiant de l’image de marque (p. ex., “BrandA”, “BrandB”)
• region: Région géographique (p. ex., “us-east”, “eu-west”)
• environment: Type d’environnement (p. ex., “production”, “staging”)
• customer_id: Identifiant du client ou du tenant
• support_email: Contact de soutien associé au domaine
• purpose: Utilité du domaine (p. ex., “customer-portal”, “admin-portal”)

Exemple de structure de métadonnées :

{
  "brand": "BrandA",
  "region": "us-east",
  "environment": "production",
  "customer_id": "cust_12345",
  "support_email": "[e-mail]",
  "tier": "enterprise"
}

Utilisez les métadonnées pour :

• Personnalisation des courriels : Personnalisez les modèles de courriel en fonction des métadonnées
• Logique des Actions : Mettez en œuvre des règles d’authentification propres à votre domaine
• Filtrage et recherche : Organisez les domaines dans vos outils de gestion
• Rapports : Suivez l’utilisation et les performances selon l’image de marque, la région ou le client

​

Sécurité

Lors de la mise en œuvre de plusieurs domaines personnalisés, tenez compte des modèles de sécurité suivants selon votre cas d’utilisation :

• Validation du domaine : Empêchez l’utilisation non autorisée de domaines en limitant l’authentification à des domaines personnalisés précis
• Isolation des organizations : Assurez-vous que les utilisateurs ne peuvent accéder aux organizations qu’au moyen de domaines approuvés
• Gestion des certificats : Assurez une gestion sécurisée du cycle de vie des certificats

​

Validation de domaine dans Actions

Utilisez Actions pour limiter l’authentification à certains domaines personnalisés. C’est utile si vous voulez empêcher les utilisateurs de s’authentifier à partir du domaine Auth0 canonique ou limiter l’accès à certains domaines de marque :

exports.onExecutePostLogin = async (event, api) => {
  const domain = event.custom_domain?.domain;

  // Liste des domaines personnalisés autorisés
  const allowedDomains = [
    'login.brand1.com',
    'login.brand2.com',
    'login.example.com'
  ];

  if (!domain || !allowedDomains.includes(domain)) {
    return api.access.deny(
      `Authentication from ${domain} is not permitted.`
    );
  }
};

​

Contrôle d’accès par organisation

Si vous utilisez Auth0 Organizations, vous pouvez restreindre les domaines personnalisés autorisés pour chaque organisation. C’est utile dans les scénarios B2B où chaque client a son propre domaine aux couleurs de son image de marque et ne devrait accéder à son organisation que par ce domaine :

exports.onExecutePostLogin = async (event, api) => {
  const domain = event.custom_domain?.domain;

  if (!event.organization) {
    return;
  }

  // Vérifier les domaines autorisés de l'organisation
  const allowedDomains = event.organization.metadata?.allowed_domains?.split(',') || [];

  if (allowedDomains.length > 0 && !allowedDomains.includes(domain)) {
    return api.access.deny(
      `Access to ${event.organization.name} requires authentication via an approved domain.`
    );
  }
};

​

Gestion des certificats

• Surveiller l’expiration : Configurez des alertes pour les dates d’expiration des certificats
• Automatiser le renouvellement : Utilisez des certificats gérés par Auth0 pour un renouvellement automatique
• Documenter les processus autogérés : Si vous utilisez des certificats autogérés, tenez des runbooks clairs à jour

​

Performance

​

Utiliser des domaines régionaux

Pour les applications mondiales, envisagez d’utiliser des domaines personnalisés propres à chaque région afin de répondre aux exigences de résidence des données et de renforcer l’image de marque selon la région :

• Exemples : login-us.example.com, login-eu.example.com, login-ap.example.com

La latence de l’authentification dépend de la région où votre tenant Auth0 est déployé, et non du nom de domaine personnalisé. Choisissez la région de votre tenant en fonction de l’emplacement de vos utilisateurs.

​

Image de marque et expérience utilisateur

​

Assurez la cohérence de votre image de marque

MCD ajoute une dimension supplémentaire à vos efforts d’image de marque. Les utilisateurs s’attendent à une expérience cohérente sur tous les points de contact :

• Universal Login : Personnalisez les pages de connexion selon le domaine à l’aide des métadonnées de domaine
• Modèles de courriel : Utilisez les variables de domaine personnalisé pour personnaliser vos courriels
• Interface de l’application : Harmonisez l’image de marque de votre application avec l’expérience d’authentification

Pour des conseils détaillés, consultez les guides sur l’image de marque B2B et B2C.

​

Gestion des clés d’accès

• Communiquez clairement : Informez les utilisateurs que les clés d’accès sont propres à chaque domaine
• Incitez à l’enrôlement : Encouragez l’enrôlement d’une clé d’accès après la 3e connexion
• Suivez l’enrôlement : Surveillez les domaines pour lesquels les utilisateurs ont enrôlé des clés d’accès
• Offrez de l’aide : Fournissez une documentation claire sur la gestion des clés d’accès

Consultez Clés d’accès avec plusieurs Multiple Custom Domains pour obtenir des directives détaillées.

​

Communication avec les utilisateurs

Lorsque les utilisateurs interagissent avec plusieurs domaines personnalisés :

• Définissez les attentes : expliquez que différentes images de marque ou différents portails peuvent avoir des URL de connexion différentes
• Donnez des indications : aidez les utilisateurs à comprendre quel domaine utiliser
• Gérez les erreurs adéquatement : affichez des messages d’erreur clairs si les utilisateurs essaient d’accéder au mauvais domaine
• Documentation d’accompagnement : maintenez une documentation claire sur la structure de vos domaines

​

Opérations et maintenance

​

Surveillance et alertes

Configurez la surveillance pour :

• Expiration du certificat : Déclenchez une alerte 30, 15 et 7 jours avant l’expiration
• Statut de vérification du domaine : Surveillez les échecs de vérification
• Échecs d’authentification : Suivez les échecs par domaine personnalisé
• Santé DNS : Surveillez la résolution DNS pour tous les domaines personnalisés
• Performance de l’API : Suivez la latence de la Management API pour les opérations liées aux domaines

​

Documentation

Maintenez une documentation exhaustive :

• Inventaire des domaines : Liste de tous les domaines personnalisés avec leurs métadonnées et leur usage
• Mappages des applications : Quelles applications utilisent quels domaines
• Procédures opérationnelles : Procédures pour les opérations courantes (ajout de domaines, renouvellement des certificats, dépannage)
• Diagrammes d’architecture : Représentation visuelle de la structure des domaines
• Coordonnées : Équipes ou personnes responsables de chaque domaine

​

Tests

Testez de façon approfondie avant la mise en production :

• Tests fonctionnels : Vérifiez l’authentification pour chacun des domaines personnalisés
• Tests d’intégration : Testez toutes les applications avec les domaines personnalisés qui leur sont attribués
• Tests des courriels : Vérifiez que les courriels utilisent les domaines personnalisés appropriés
• Tests de basculement : Testez le basculement vers le domaine par défaut comme solution de secours
• Tests de performance : Effectuez un test de charge de l’authentification via les domaines personnalisés

​

Gestion des changements

Lorsque vous apportez des modifications aux domaines personnalisés :

• Utilisez d’abord staging : Testez les modifications dans des environnements hors production
• Déploiement progressif : Déployez d’abord les modifications sur un sous-ensemble de domaines
• Surveillez de près : Soyez à l’affût de tout problème pendant le déploiement
• Prévoyez un plan de retour arrière : Soyez prêt à annuler les modifications au besoin
• Communiquez les changements : Informez les parties prenantes des changements planifiés

​

Pièges courants à éviter

​

Ne compliquez pas trop la structure des domaines

• Anti-modèle : créer un domaine personnalisé pour chaque déclinaison possible
• Meilleure approche : commencez par quelques domaines de base, puis étendez au besoin

​

N’oubliez pas de mettre à jour tous les points d’intégration

Lorsque vous ajoutez de nouveaux domaines personnalisés, mettez à jour :

• les URL de rappel de l’application
• les URI de redirection du fournisseur social
• les points de terminaison de la connexion d’entreprise
• la logique de validation des jetons
• les règles de surveillance et d’alerte

​

Ne négligez pas la documentation

• Anti-modèle : S’en remettre aux connaissances institutionnelles
• Meilleure approche : Documenter les attributions de domaines, la signification des métadonnées et les procédures opérationnelles

​

N’ignorez pas la gestion des certificats

• Anti-modèle: Laisser expirer les certificats sans alerte
• Meilleure approche: Automatiser la surveillance et le renouvellement

​

Ne mélangez pas les contextes d’authentification

• Anti-modèle : Utiliser le même domaine personnalisé pour des images de marque ou des clients sans lien
• Meilleure approche : Maintenir une séparation claire entre les différents contextes d’authentification

​

En savoir plus

• Multiple Custom Domains
• Default Custom Domain
• Management API pour Multiple Custom Domains
• Guide de migration
• Actions Integration
• Clés d’accès avec Multiple Custom Domains