Rotation des secrets clients

Découvrez comment faire la rotation du secret client d’une application à l’aide de l’Auth Dashboard ou de la Management API.

Vous pouvez changer le secret client d’une application à l’aide du Auth0 Dashboard ou de la Management API d’Auth0. Lorsque vous effectuez la rotation d’un secret client, vous devez mettre à jour toutes les applications autorisées avec la nouvelle valeur.

Les secrets clients ne doivent pas être stockés dans des applications clientes publiques. Pour en savoir plus, consultez Confidential and Public Applications.

La disponibilité des nouveaux secrets peut être retardée de jusqu’à trente secondes pendant la rotation. Pendant cette période de propagation, l’ancien ou le nouveau secret peut être accepté; votre application doit donc être configurée pour essayer les deux. Pour éviter tout temps d’arrêt, déployez le nouveau secret dans votre application avant qu’il ne devienne actif. L’approche recommandée consiste à définir à l’avance un secret client personnalisé (consultez Définir un secret client personnalisé) : stockez le futur secret dans le code ou la configuration système de votre application comme solution de secours afin qu’il soit déjà déployé lorsque la rotation prendra effet. Votre application peut alors utiliser le secret qui fonctionne : si une requête échoue avec l’ancien secret, elle utilise le nouveau secret comme solution de secours.

Les secrets peuvent être stockés dans une liste (ou une structure similaire) jusqu’à ce qu’ils ne soient plus nécessaires. Une fois que vous êtes certain qu’un ancien secret est obsolète, vous pouvez supprimer sa valeur du code de votre application.

​

Utiliser le Dashboard

1. Dans l’Auth0 Dashboard, accédez à Applications > Applications, puis sélectionnez le nom de l’application que vous voulez consulter.

   

2. Faites défiler jusqu’au bas de la page Settings, repérez la Danger Zone, sélectionnez Rotate, puis confirmez.

3. Faites défiler jusqu’en haut de la page, puis passez à l’onglet Credentials.

4. Pour afficher votre nouveau secret, repérez Client Secret et sélectionnez l’icône en forme d’œil.

   

5. Mettez à jour les applications autorisées avec la nouvelle valeur.

​

Utiliser la Management API

1. Effectuez une requête vers le point de terminaison Rotate a client secret de la Management API. Remplacez les valeurs de l’espace réservé {yourClientId} et {yourMgmtApiAccessToken} par votre ID client et votre jeton d’accès de la Management API, respectivement.

Valeur	Description
{yourClientId}	L’ID de l’application à mettre à jour.
MGMT_API_ACCESS_TOKEN	Jetons d’accès pour la Management API avec le scope update:client_keys.

2. Mettez à jour les applications autorisées avec la nouvelle valeur.

​

Définir un secret client personnalisé

Vous pouvez utiliser le point de terminaison Mettre à jour un client de la Management API pour définir manuellement un secret client au lieu de demander une rotation vers un secret généré automatiquement. Votre application est configurée à l’avance avec le futur secret comme solution de secours avant la rotation proprement dite.

   curl --request PATCH \
   --url https://{TenantDomain}/api/v2/clients/{ClientID} \
   --header 'Authorization: Bearer {AccessToken}' \
   --header 'Content-Type: application/json' \
   --data '{
      "client_secret": "{CustomClientSecret}"
      }'

​

Pour en savoir plus

• Voir les certificats de signature
• Algorithmes de signature
• Modifier les algorithmes de signature de l’application