Skip to main content
En configurant votre octroi d’application de façon à ce que les jetons que vous émettez aient une courte durée de vie, vous pourrez, au moment de révoquer l’accès à une ressource protégée, simplement supprimer l’octroi. Dès lors, la partie qui détient le ne dispose que d’un délai limité entre la suppression de l’octroi et l’expiration du jeton pour effectuer d’autres requêtes API. Comme il s’agit d’une option simple (et sécuritaire) à mettre en œuvre, nous vous recommandons de rejeter l’accès à vos API et à vos autres ressources protégées en révoquant les octrois d’application. Si, par exemple, vous utilisez une application de type machine à machine pour accéder à votre API, et qu’un partenaire appelle votre API, puis qu’à la fin de votre contrat actuel, vous décidez ensemble de ne pas renouveler votre partenariat, vous voudrez alors supprimer l’accès de ce partenaire à votre API. Le problème, toutefois, c’est que vous lui avez donné un jeton d’accès valide pendant un mois.
  • Que pouvez-vous faire dans cette situation ?
  • Comment pourriez-vous configurer votre environnement Auth0 pour que ce type de situation soit plus facile à gérer à l’avenir ?

​
Autorisations d’application

Le principal enjeu dans ce scénario est la durée de validité du jeton d’accès à l’API : un mois. Par défaut, Auth0 émet des jetons d’accès valides pendant 24 heures. Si vous réglez la durée de vie du jeton à 24 heures, votre partenaire devra répéter l’échange des informations d’identification du client (ou tout autre type d’autorisation que vous avez mis en œuvre) pour obtenir un nouveau jeton d’accès toutes les 24 heures. Pour rejeter l’accès de votre partenaire à l’échéance de votre contrat, vous pouvez simplement supprimer l’octroi d’application afin que, lorsque son jeton actuel expirera, il ne puisse pas en demander un nouveau. Vous pouvez modifier la durée de vie d’un jeton en définissant l’option token_lifetime. La durée appropriée à votre cas d’utilisation variera, mais nous vous recommandons de définir cette valeur aussi courte que possible. Un bon point de départ pour établir cette valeur est le délai maximal que vous jugez acceptable entre la suppression de l’octroi et la dernière utilisation de l’API.

​
Supprimer un octroi d’application

Pour supprimer un octroi d’application, envoyez la requête DELETE appropriée au point de terminaison Delete an Application Grant. Dans cette requête, vous devrez préciser l’ID de l’octroi d’application à supprimer, que vous pouvez obtenir au moyen du point de terminaison Get all Application Grants du Management API. Vous pouvez aussi mettre à jour les types d’autorisation d’une application dans le .

​
En savoir plus