Configurer les applications tierces

Créez et configurez des applications tierces à l’aide de l’Auth0 Dashboard ou de la Management API.

Créez des applications tierces qui permettent à des développeurs externes, à des partenaires ou à des agents d’IA d’accéder à vos API grâce à des mesures de sécurité renforcées.

​

Prérequis

Avant de créer une application tierce, assurez-vous d’avoir :

• Un tenant Auth0 avec au moins une API (serveur de ressources) configurée
• Au moins une connexion promue au niveau du domaine (pour les flux destinés aux utilisateurs)

​

Créer une application tierce

Créez une application tierce à l’aide de l’Auth0 Dashboard ou de la Management API.

Auth0 Dashboard

1. Accédez à Applications > Applications.
2. Sélectionnez Create Application.
3. Entrez un nom pour l’application et sélectionnez le type d’application :
   • Regular Web App pour les clients confidentiels côté serveur
   • Single Page App pour les clients publics basés sur le navigateur
   • Native pour les clients publics sur mobile ou ordinateur de bureau
4. Activez la bascule This application is owned by a third party.
5. Sélectionnez Create.

Management API

Envoyez une requête POST au point de terminaison /api/v2/clients avec le corps de requête suivant :

Paramètre	Type	Description
name	String	Obligatoire. Le nom de l’application.
is_first_party	Boolean	Indique si l’application est de première partie (true) ou tierce (false).
app_type	String	Le type d’application (p. ex., regular_web, native, spa, non_interactive).
callbacks	Array	Une liste des callback URLs autorisées pour la redirection après l’authentification.
grant_types	Array	Une liste des grant types OAuth2 que ce client est autorisé à utiliser. Les applications tierces prennent en charge authorization_code, refresh_token et client_credentials. Pour en savoir plus, consultez Security Controls for Third-Party Applications.
token_endpoint_auth_method	String	La méthode d’authentification pour le Token point de terminaison (p. ex., client_secret_post).

En cas de succès, Auth0 crée l’application avec un préfixe de Client ID tpc_, les grant types authorization_code et refresh_token, et définit third_party_security_mode à strict, ce qui indique que des contrôles de sécurité renforcés sont activés.

{
  "client_id": "tpc_aBcDeFgHiJkLmNoPqRsTuV",
  "third_party_security_mode": "strict",
  "is_first_party": false,
  "name": "Partner Application",
  "grant_types": ["authorization_code", "refresh_token"],
  ...
}

Paramètre	Type	Description
client_id	String	L’identifiant unique de l’application avec un préfixe tpc pour indiquer qu’il s’agit d’une application tierce créée avec le mode strict activé.
third_party_security_mode	String	Définit le profil de sécurité. Réglez-le à strict pour appliquer des contraintes de sécurité renforcées aux applications tierces.
is_first_party	Boolean	Doit être défini à false lorsque le mode de sécurité strict est utilisé pour identifier l’application comme tierce.
name	String	Le nom d’affichage de l’application.
grant_types	Array	Les grant types OAuth2 que cette application est autorisée à utiliser (p. ex., authorization_code).

La propriété third_party_security_mode est définie à la création et ne peut pas être modifiée. Pour utiliser un autre mode de sécurité, créez une nouvelle application.

​

Configurer les politiques d’accès aux API

Les applications tierces nécessitent des client grants explicites pour accéder aux API. Vous pouvez configurer les politiques d’accès aux API des façons suivantes :

• Permissions par application : appliquez des permissions granulaires à chaque application de votre tenant.
• Permissions par défaut pour toutes les applications tierces : appliquez des permissions par défaut à toutes les applications tierces de votre tenant.

Lorsque des permissions par application et des permissions par défaut pour les applications tierces existent pour la même API, les permissions par application prévalent. Pour en savoir plus, consultez Application Access to APIs: Client Grants.

​

Permissions par application

Pour accorder à une application tierce précise un accès plus étendu ou plus restreint que les valeurs par défaut, créez un client grant pour le client_id de cette application :

Auth0 Dashboard

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Settings.
3. Faites défiler jusqu’à Application Access Policy et définissez User-Delegated Access et Client Access sur Per-app authorization.
4. Sélectionnez Save.

Lorsque vous configurez des permissions par application, vous devez autoriser individuellement l’accès à l’API pour chaque application :

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Application Access.
3. Faites défiler jusqu’à l’application, sélectionnez Edit, puis Grant Access pour User-Delegated Access et/ou Client Access. Sélectionnez ensuite les autorisations voulues.
4. Sélectionnez Save.

Management API

​

Permissions par défaut pour toutes les applications tierces

Les permissions par défaut définissent un ensemble de base d’API et de scopes accessibles à toutes les applications tierces. Cette configuration est requise pour enregistrement dynamique des clients, puisqu’il n’est pas possible de configurer l’accès pour chaque application individuellement.

Auth0 Dashboard

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Settings.
3. Faites défiler jusqu’à Default Permissions for Third Party Apps.
4. Sélectionnez Authorized pour User-Delegated Access ou Client Access.
5. Sélectionnez les scopes à accorder, puis cliquez sur Save.

Management API

Effectuez une requête POST vers le point de terminaison /api/v2/client-grants avec le corps de la requête suivant :

Paramètre	Type	Description
default_for	String	Indique si ce grant est appliqué automatiquement à certains types d’applications. Définissez-le sur third_party_clients pour que toutes les applications tierces aient accès à cette API par défaut.
audience	String	L’identifiant unique (URI) de l’API pour laquelle le grant est créé.
scope	Array	Une liste de permissions (scopes) autorisées dans le cadre de ce grant.
subject_type	String	Définit le type d’accès applicatif autorisé pour l’API : user : utilisé pour l’accès délégué par l’utilisateur, ce qui correspond aux flux qui génèrent un token associé à un utilisateur final. client : utilisé pour l’accès machine à machine, comme le Client Credentials Flow.

​

Configurer les connexions

Les applications tierces peuvent authentifier les utilisateurs uniquement au moyen de connexions au niveau du domaine. Lorsqu’une connexion est promue au niveau du domaine, elle devient accessible à toutes les applications tierces du tenant.

Pour promouvoir une connexion :

1. Accédez à Auth0 Dashboard > Authentification et sélectionnez le type de connexion (Database, Social, Enterprise).
2. Sélectionnez la connexion que vous souhaitez utiliser avec des applications tierces.
3. Activez la bascule Promote Connection to Domain Level.

Pour en savoir plus, consultez Promouvoir les connexions au niveau du domaine.

Les applications tierces peuvent accéder à une connexion qui n’est pas promue au niveau du domaine par l’intermédiaire de Cross App Access (XAA), à condition que l’accès soit autorisé dans l’IdP d’entreprise. Ne promouvez une connexion au niveau du domaine que si vous souhaitez que toute application tierce puisse y accéder à la fois par les flux de connexion standard (point de terminaison /authorize) et par XAA. Si vous souhaitez que XAA soit le seul moyen pour les applications tierces d’obtenir des jetons par cette connexion, ne la promouvez pas au niveau du domaine.

​

Configurer l’accès aux Organizations

Pour que les utilisateurs puissent s’authentifier au moyen d’une application tierce dans le contexte d’une Organization, deux conditions doivent être remplies :

1. La connexion doit être promue au niveau du domaine, comme décrit dans la section ci-dessus.
2. L’Organization doit avoir third_party_client_access défini à allow.

Si l’une ou l’autre de ces conditions n’est pas remplie, la demande d’autorisation échoue avec invalid_request. Pour activer l’accès d’une application tierce à une Organization, consultez Activer l’accès des applications tierces pour une Organization.

Puisque les applications tierces sont contrôlées par des développeurs externes, vous ne pouvez pas garantir qu’elles transmettent le paramètre organization dans les requêtes d’autorisation. Configurez Prompt for Credentials ou Prompt for Organization dans votre application afin que les utilisateurs soient dirigés vers le bon contexte d’Organization.

Pour l’accès de machine à machine avec Organizations, les applications tierces nécessitent un organization_client_grant explicite pour chaque Organization. allow_any_organization n’est pas disponible. Pour en savoir plus, consultez Organizations for M2M Applications.

Le consentement est associé au contexte d’Organization. Un utilisateur qui donne son consentement dans une Organization doit le redonner s’il accède à la même application par l’intermédiaire d’une autre Organization. Pour en savoir plus, consultez Consent with Organizations.

​

Résumé du comportement

Flux	third_party_client_access: allow requis ?	Connexion au domaine requise ?	allow_any_organization
Code d’autorisation	Oui	Oui	S. O.
Identifiants du client	Non — non évalué	Non	Non autorisé

​

Configurer la protection contre les redirections ouvertes

Les applications tierces dotées de contrôles de sécurité renforcés ont la Protection contre les redirections ouvertes activée par défaut. Lorsqu’elle est activée, Auth0 ne :

• redirige pas vers l’URL de rappel de l’application en cas d’erreur d’authentification
• n’expose pas application.callback_domain dans les modèles de courriel

Désactivez la Protection contre les redirections ouvertes uniquement pour les applications tierces dont les URI de rappel configurées sont dignes de confiance. Pour en savoir plus, consultez Redirect Protection.

Auth0 Dashboard

1. Accédez à Applications > Applications et sélectionnez l’application tierce.
2. Accédez à l’onglet Settings et faites défiler jusqu’à Open Redirect Protection.
3. Activez ou désactivez ce paramètre.
4. Sélectionnez Save.

Management API

Définissez la propriété redirection_policy lors de la création ou de la mise à jour de l’application :

curl --request PATCH \
  --url 'https://{yourDomain}/api/v2/clients/{CLIENT_ID}' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data '{
    "redirection_policy": "allow_always"
  }'

Définissez-la sur open_redirect_protection pour l’activer (par défaut) ou sur allow_always pour la désactiver.

​

Enregistrement dynamique des clients

Tous les clients enregistrés dynamiquement sont des applications tierces. Avant d’activer le DCR, configurez les permissions d’API par défaut pour que les clients enregistrés dynamiquement puissent accéder à vos API.

​

Pour en savoir plus

• Applications tierces
• Contrôles de sécurité pour les applications tierces
• Consentement de l’utilisateur et applications tierces
• Enregistrement dynamique des clients
• Promouvoir les connexions au niveau du domaine