Configurer des domaines personnalisés avec des certificats autogérés

Découvrez comment configurer des domaines personnalisés lorsque vous êtes responsable des certificats TLS (SSL), du proxy inverse pour gérer la terminaison SSL et de la transmission des requêtes à Auth0.

Vous devez avoir un abonnement Enterprise pour gérer les certificats de votre domaine personnalisé. Pour en savoir plus, consultez Auth0 Pricing et Login.

Si vous choisissez de gérer les certificats de vos domaines personnalisés sans l’aide d’Auth0, vous devez savoir comment administrer votre propre proxy et vos certificats pour les connexions entrantes qui nécessitent plusieurs enregistrements DNS pour le domaine. Vous devez acheter ou fournir les certificats et en gérer vous-même le renouvellement. Vous aurez également besoin d’un proxy inverse sur lequel le certificat sera installé. Une fois le domaine vérifié, nous accepterons le trafic provenant du proxy.

Choisissez cette option pour :

• Avoir davantage de contrôle sur vos certificats (par exemple, choisir votre propre AC ou la date d’expiration du certificat).
• Activer une surveillance supplémentaire de vos appels d’API à Auth0.

Pour configurer votre domaine personnalisé à l’aide de certificats autogérés, vous devez fournir votre nom de domaine à Auth0, vérifier que vous en êtes propriétaire et configurer le proxy inverse. Une fois votre domaine personnalisé configuré, vous devrez configurer les fonctionnalités d’Auth0 pour commencer à utiliser votre domaine personnalisé.

Votre proxy vers Auth0 doit utiliser TLS (SSL) version 1.2 ou ultérieure.

​

Fournissez votre nom de domaine à Auth0

1. Accédez à Dashboard > Settings > Custom Domains ou à Dashboard > Branding > Custom Domains. Saisissez votre domaine personnalisé dans le champ prévu à cet effet, puis sélectionnez Self-managed Certificates dans le menu déroulant.
2. Choisissez Add Domain. Vous ne pouvez ajouter qu’un seul domaine par tenant, même si le bouton Add Domain s’affiche encore après l’ajout d’un domaine.

​

Vérifier la propriété du domaine

Avant de pouvoir utiliser le domaine avec Auth0, vous devez vérifier que vous en êtes bien propriétaire.

1. Accédez à Dashboard > Branding > Custom Domains.

   

2. Ajoutez les renseignements de vérification TXT à l’enregistrement DNS de votre domaine. Ces étapes peuvent varier selon votre fournisseur de services DNS :

   1. Gardez la page du domaine personnalisé Auth0 ouverte dans votre navigateur pour pouvoir copier les valeurs.

   2. Connectez-vous à votre service de gestion de domaine.

   3. Créez un nouvel enregistrement et enregistrez-le avec les paramètres suivants :

      Paramètre	Valeur
      Type d’enregistrement	TXT
      Nom	Copiez-collez la valeur TXT Record de votre domaine depuis Auth0.
      Durée de vie (TTL)	Utilisez la valeur par défaut.
      Valeur	Copiez-collez la valeur TXT Content de votre domaine depuis Auth0.

3. Cliquez sur Vérifier pour continuer.

   Selon vos paramètres DNS, il se peut qu’Auth0 prenne quelques minutes avant de pouvoir vérifier votre domaine.

   Si Auth0 vérifie votre nom de domaine avec succès, une fenêtre de confirmation s’affichera. Enregistrez les renseignements fournis dans cette fenêtre, en particulier la valeur cname-api-key, car c’est la seule fois où cette valeur sera affichée.

   Pour des raisons de sécurité, cette valeur est stockée sous forme de hachage et ne peut donc pas être récupérée. Si vous ne notez pas le cname-api-key à ce moment-là, vous devrez recréer les domaines personnalisés.

   Le processus de vérification est terminé et, dans un délai de 1 à 2 minutes, votre domaine personnalisé devrait être prêt à être utilisé. Si vous ne parvenez pas à terminer le processus de vérification dans les trois jours, répétez ces étapes.

​

Configurer le proxy inverse

Le serveur proxy inverse récupère des ressources pour le compte de votre application à partir d’un ou de plusieurs serveurs. Ces ressources sont ensuite renvoyées à l’application comme si elles provenaient directement du serveur proxy lui-même.

Vous pouvez utiliser un service comme Cloudflare, Azure CDN, Google Cloud Platform ou AWS Cloudfront, puis configurer les paramètres de votre domaine personnalisé. Vous ajouterez la nouvelle valeur CNAME dans votre DNS pour votre domaine personnalisé afin qu’elle pointe vers le nom de domaine du serveur proxy inverse pour la distribution.

1. Après avoir créé les paramètres du proxy inverse sur votre service, accédez à l’onglet Auth0 Dashboard > Branding > Custom Domains.
2. Ajoutez un nouvel enregistrement CNAME dans votre DNS pour votre domaine personnalisé afin qu’il pointe vers le nom de domaine du service pour votre distribution. Vous pouvez le trouver en repérant le Distribution ID dans la configuration de votre serveur proxy inverse. Une fois ajouté, l’enregistrement CNAME doit demeurer présent en tout temps afin d’éviter des problèmes lors du renouvellement du certificat.
3. La façon de configurer le serveur proxy varie selon le service que vous utilisez. Vous devrez probablement configurer les types de paramètres suivants :

• Distribution
• Origin hostname
• HTTP headers
• Default cache behavior

​

Paramètres de Distribution

Paramètre	Valeur
Origin Domain Name	Définissez ce champ à la valeur Origin Domain Name obtenue dans l’Auth0 Dashboard pendant le processus de configuration de Custom Domains.
Origin ID	Une description de l’origine. Cette valeur vous permet de distinguer plusieurs origines dans la même Distribution et doit donc être unique.
Origin Protocol Policy	Réglez sur HTTPS Only.
Alternate Domain Names (CNAMEs)	Réglez sur votre nom de domaine personnalisé (le même que vous avez configuré dans l’Auth0 Dashboard).

​

Paramètres du nom d’hôte d’origine

Paramètre	Valeur
Nom d’hôte d’origine	Entrez {yourTenant}-<CUSTOM_DOMAIN_ID>.edge.tenants.us.auth0.com, en remplaçant <CUSTOM_DOMAIN_ID> par la valeur du Nom de domaine d’origine (ID du domaine personnalisé) que vous avez reçue d’Auth0 lors de la configuration du nouveau domaine personnalisé. Si vos tenants ne se trouvent pas dans la région des États-Unis, utilisez l’une des valeurs suivantes : EU : {yourTenant}-<CUSTOM_DOMAIN_ID>.edge.tenants.eu.auth0.com AU : {yourTenant}-<CUSTOM_DOMAIN_ID>.edge.tenants.au.auth0.com JP : {yourTenant}-<CUSTOM_DOMAIN_ID>.edge.tenants.jp.auth0.com Par exemple, si votre CUSTOM_DOMAIN_ID est : cd_TXIdNgQ07HrAFVmz Pour un tenant situé aux États-Unis, le nom d’hôte d’origine doit être : US: {yourTenant}-cd-txIdngq07hrafvmz.edge.tenants.us.auth0.com
Server Name Indication (SNI)	Utilisez le nom que vous avez indiqué pour le nom d’hôte d’origine.

Pour en savoir plus sur la façon de récupérer les détails de votre domaine personnalisé, consultez Obtenir les configurations du domaine personnalisé.

​

En-têtes HTTP

Nom de l’en-tête	Valeur
Host	Le nom d’hôte d’origine.
cname-api-key	La valeur de la clé API CNAME qui vous a été fournie immédiatement après avoir vérifié que vous êtes propriétaire de votre nom de domaine auprès d’Auth0. Vous devez définir cet en-tête pour qu’Auth0 accepte le trafic provenant de votre proxy.
X-Forwarded-For	L’adresse IP de l’utilisateur final. N’indiquez pas plusieurs adresses IP. Vous pouvez indiquer un autre en-tête pour l’adresse IP de l’utilisateur à l’aide de l’endpoint Configurer un nouveau domaine personnalisé de la Management API afin de définir la propriété custom_client_ip_header.

Auth0 utilise l’adresse IP de l’utilisateur final pour des fonctionnalités comme la détection d’anomalies, la limitation du débit et la MFA. Si votre proxy ne transmet pas l’adresse IP de l’utilisateur final, Auth0 considère l’adresse IP de votre proxy comme celle du client, ce qui peut entraîner un fonctionnement incorrect de ces fonctionnalités.

​

Paramètres du comportement de cache par défaut

Paramètre	Valeur
Politique de protocole du visualiseur	Sélectionnez Redirect HTTP to HTTPS.
Méthodes HTTP autorisées	Sélectionnez GET, HEAD, OPTIONS, PUT, POST, PATCH, DELETE.
Mise en cache selon les en-têtes de requête sélectionnés	Sélectionnez Allow list.
En-têtes de la liste d’autorisation	Les en-têtes suivants doivent être autorisés : User-Agent, Origin, Referer, Authorization, Accept et Accept-Language.
Transmettre les cookies	Sélectionnez All.
Transmission de la chaîne de requête et mise en cache	Sélectionnez Forward all, cache based on all.

​

Étapes supplémentaires pour certaines fonctionnalités d’Auth0

Certaines étapes de configuration supplémentaires sont requises selon les fonctionnalités d’Auth0 que vous utilisez. Pour en savoir plus, consultez Configurer les fonctionnalités pour utiliser des domaines personnalisés.

Cloudflare utilise une fonctionnalité appelée l’aplatissement CNAME, ce qui a une incidence sur la vérification par Auth0 et le renouvellement des certificats en raison de la façon dont les enregistrements DNS sont gérés. Nous vous recommandons de désactiver l’aplatissement CNAME, sauf en cas de nécessité absolue.

Comme cette fonctionnalité vous permet de gérer vos propres certificats, vous devez prévoir des stratégies d’atténuation (comme un pare-feu d’application Web) pour bloquer les requêtes en cas d’attaque. Pour en savoir plus, consultez notre blogue sur l’avenir de la protection contre les bots.

​

En savoir plus

• Configurer les fonctionnalités pour utiliser des domaines personnalisés
• Configurer Google Cloud Platform avec l’équilibrage de charge comme proxy inverse
• Configurer Cloudflare comme proxy inverse
• Configurer AWS CloudFront comme proxy inverse
• Configurer Azure CDN comme proxy inverse
• Configurer Akamai comme proxy inverse