Skip to main content
Auth0 utilise le protocole OpenID Connect (OIDC) et le cadre d’autorisation OAuth 2.0 pour authentifier les utilisateurs et obtenir leur autorisation pour accéder à des ressources protégées. Avec Auth0, vous pouvez facilement prendre en charge différents flux dans vos propres applications et API sans avoir à vous soucier des spécifications OIDC/ ni d’autres aspects techniques de l’authentification et de l’autorisation. Nous prenons en charge les scénarios pour les applications côté serveur, mobiles, de bureau, côté client, machine-to-machine et pour appareils. Si vous ne savez pas quel flux utiliser, nous pouvons vous aider à choisir. Pour en savoir plus, lisez Quel flux OAuth 2.0 devrais-je utiliser ?.
Lors de l’exécution de plusieurs flux, votre application doit aussi s’authentifier auprès du serveur d’autorisation. Pour en savoir plus sur l’authentification des applications, lisez Identifiants de l’application.
Selon les politiques d’accès des applications aux API que vous configurez pour une API, vous devrez peut-être créer les autorisations client correspondantes pour votre application. Pour en savoir plus, lisez Accès des applications aux API : politiques et autorisations client.

​
Flux de code d’autorisation

Comme les applications Web traditionnelles sont des applications côté serveur dont le code source n’est pas exposé publiquement, elles peuvent utiliser le flux de code d’autorisation, qui échange un code d’autorisation contre un jeton.

​
Flux de code d’autorisation avec clé de preuve pour l’échange de code (PKCE)

Pendant l’authentification, les applications mobiles et les applications natives peuvent utiliser le flux de code d’autorisation, mais elles ont besoin d’une sécurité supplémentaire. De plus, les applications monopage posent des défis particuliers. Pour atténuer ces défis, OAuth 2.0 propose une version du flux de code d’autorisation qui utilise une clé de preuve pour l’échange de code (PKCE).

​
Flux de code d’autorisation avec une protection renforcée de la confidentialité

Pendant le processus d’authentification et d’autorisation, certains cas d’utilisation, comme l’autorisation transactionnelle, échangent des informations contextuelles qui peuvent contenir des données sensibles. Pour protéger ces données et autres renseignements sensibles, vous pouvez utiliser différentes améliorations du protocole pour le flux de code d’autorisation :

​
Flux implicite avec Form Post

Comme solution de rechange au flux de code d’autorisation, OAuth 2.0 offre le flux implicite, qui est destiné aux , ou aux applications qui ne peuvent pas stocker des de manière sécurisée. Bien que cette approche ne soit plus considérée comme une bonne pratique pour demander des , lorsqu’elle est utilisée avec le mode de réponse Form Post, elle offre un processus simplifié si l’application a seulement besoin d’un pour effectuer l’authentification de l’utilisateur.

​
Flux hybride

Les applications qui peuvent stocker des secrets client de façon sécuritaire peuvent tirer parti du flux hybride, qui combine des fonctionnalités du flux de code d’autorisation et du flux implicite avec Form Post pour permettre à votre application d’obtenir immédiatement un jeton ID, tout en assurant une récupération sécuritaire et fiable des jetons d’accès et des . Cela peut être utile lorsque votre application doit accéder immédiatement à des renseignements sur l’utilisateur, mais qu’elle doit effectuer un certain traitement avant d’accéder à des ressources protégées pendant une période prolongée.

​
Client Credentials Flow

Avec les applications machine-to-machine (M2M), comme les CLI, les démons ou les services exécutés sur votre back-end, le système authentifie et autorise l’application plutôt qu’un utilisateur. Dans ce contexte, les mécanismes d’authentification habituels, comme Identifier + Password ou les connexions via les réseaux sociaux, ne s’appliquent pas. Les applications M2M utilisent plutôt le Client Credentials Flow (défini dans la RFC 6749 d’OAuth 2.0, section 4.4).

​
Flux d’autorisation de l’appareil

Avec les appareils à capacité de saisie limitée qui se connectent à Internet, au lieu d’authentifier directement l’utilisateur, l’appareil lui demande d’ouvrir un lien sur son ordinateur ou son téléphone intelligent afin d’autoriser l’appareil. Cela évite une mauvaise expérience utilisateur sur les appareils qui ne permettent pas de saisir du texte facilement. Pour ce faire, les applications de l’appareil utilisent le flux d’ de l’appareil (défini dans OAuth 2.0). À utiliser avec les applications mobiles/natives.

​
Flux de mot de passe du propriétaire de la ressource

Bien que nous ne le recommandions pas, les applications hautement fiables peuvent utiliser le flux de mot de passe du , dans lequel les utilisateurs doivent fournir leurs identifiants (identifiant et mot de passe), généralement au moyen d’un formulaire interactif. Le flux de mot de passe du propriétaire de la ressource ne doit être utilisé que lorsqu’il est impossible d’utiliser des flux avec redirection (comme le flux de code d’autorisation).

​
Client-Initiated Backchannel Authentication Flow

Avec le Client-Initiated Backchannel Authentication Flow (CIBA), au lieu d’authentifier directement l’utilisateur, le backend de l’application cliente déclenche un flux d’authentification pour inviter l’utilisateur à s’authentifier. L’authentification elle-même s’effectue sur un appareil d’authentification distinct, généralement un téléphone intelligent exécutant une application personnalisée.

​
Échange de jetons personnalisé

L’Échange de jetons personnalisé (CTE) permet aux applications d’échanger des jetons d’identité préexistants contre des jetons Auth0 en appelant le endpoint /oauth/token, comme défini dans la RFC 8693. Par exemple, vous pouvez utiliser l’Échange de jetons personnalisé pour échanger des jetons Auth0 afin d’accéder à une autre audience au nom de l’utilisateur. Pour en savoir plus sur les cas d’utilisation de l’Échange de jetons personnalisé, consultez Exemples de cas d’utilisation. En associant un Profil d’échange de jetons personnalisé à une Action qui contient une logique personnalisée, vous pouvez mettre en place des flux de travail liés à l’identité hautement personnalisés en échangeant un jeton de sécurité contre un autre, tout en gardant la maîtrise de la logique d’autorisation.

Quel flux OAuth 2.0 devrais-je utiliser ?

Découvrez comment déterminer le flux OAuth 2.0 approprié pour votre type d’application, des applications Web côté serveur et des SPA aux flux machine à machine et d’appareil.

S’authentifier avec Private Key JWT

Décrit comment créer une assertion pour utiliser l’authentification Private Key JWT.

S’authentifier avec mTLS

Découvrez comment le protocole TLS mutuel (mTLS) sécurise les flux OAuth en remplaçant les secrets client partagés par des certificats X.509 et, facultativement, en liant les jetons d’accès au client.

Client Credentials Exchange

Découvrez comment Hooks peuvent être utilisés avec le point d’extensibilité Client Credentials Exchange, offert pour les connexions de base de données et les connexions Passwordless.

Flux de code d’autorisation

Flux de code d’autorisation

Découvrez comment fonctionne le flux de code d’autorisation et pourquoi vous devriez l’utiliser pour les Applications Web régulières.

Ajouter la connexion au moyen du flux de code d’autorisation

Découvrez comment ajouter la connexion à votre application Web traditionnelle au moyen du flux de code d’autorisation.

Appeler votre API à l’aide du flux de code d’autorisation

Découvrez comment appeler votre propre API depuis des applications Web traditionnelles à l’aide du flux de code d’autorisation.

Flux du code d’autorisation avec Rich Authorization Requests (RAR)

Découvrez comment utiliser Rich Authorization Requests (RAR) avec le flux du code d’autorisation.

Flux de code d’autorisation avec des requêtes d’autorisation poussées (PAR)

Découvrez comment utiliser les requêtes d’autorisation poussées (PAR) avec le flux de code d’autorisation.

Flux de code d’autorisation avec des requêtes d’autorisation sécurisées par JWT (JAR)

Apprenez à utiliser les requêtes d’autorisation sécurisées par JWT (JAR) avec le flux de code d’autorisation.

Flux de code d’autorisation avec clé de preuve pour l’échange de code

Flux de code d’autorisation avec clé de preuve pour l’échange de code (PKCE)

Découvrez comment fonctionne le flux de code d’autorisation avec clé de preuve pour l’échange de code (PKCE) et pourquoi vous devriez l’utiliser pour les applications natives et mobiles.

Ajouter la connexion à l’aide du flux du code d’autorisation avec PKCE

Découvrez comment ajouter la fonctionnalité de connexion à votre application native, mobile ou monopage à l’aide du flux du code d’autorisation avec la clé de preuve pour l’échange de code (PKCE).

Appelez votre API à l’aide du flux de code d’autorisation avec PKCE

Découvrez comment appeler votre API depuis une application Native, mobile ou monopage à l’aide du flux de code d’autorisation avec la clé de preuve pour l’échange de code (PKCE).

Flux d’identifiants client

Flux des identifiants client

Découvrez comment fonctionne le flux d’identifiants du client et pourquoi vous devriez l’utiliser pour les applications machine à machine (M2M).

Appelez votre API à l’aide du flux Client Credentials

Découvrez comment appeler votre API depuis une application machine à machine (M2M) à l’aide du flux Client Credentials.

Personnaliser les jetons à l’aide de Hooks dans le Client Credentials Flow

Découvrez comment utiliser Hooks pour modifier les scopes et ajouter des claims personnalisés au jeton d’accès obtenu à l’aide du Client Credentials Flow.

Flux d’authentification par canal auxiliaire initié par le client

Flux Client-Initiated Backchannel Authentication

Découvrez comment le flux CIBA permet à un service backend d’amorcer l’authentification sur un appareil distinct, comme une application mobile, sans interaction avec un navigateur.

Notifications push mobiles avec CIBA

Découvrez comment authentifier les utilisateurs avec le flux Client-Initiated Backchannel Authentication à l’aide de notifications push mobiles.

Notifications par courriel avec CIBA

Découvrez comment authentifier les utilisateurs avec le flux Client-Initiated Backchannel Authentication au moyen de notifications par courriel.

Autorisation utilisateur avec CIBA

Découvrez comment utiliser requête d’autorisation enrichi avec le flux backchannel initié par le client.

Flux d’échange de jetons personnalisé

Flux d’échange de jeton personnalisé

Comprendre le flux d’échange de jetons (RFC 8693) dans Auth0, y compris comment configurer des profils et des Actions d’échange de jeton personnalisé afin d’émettre des jetons Auth0.

Appeler votre API à l’aide du flux d’échange de jeton personnalisé

Découvrez comment appeler votre API avec un jeton de sujet afin de l’échanger contre des jetons d’accès, ID et d’actualisation Auth0 à l’aide de Custom Token Exchange.

Flux d’autorisation d’appareil

Flux d’autorisation de l’appareil

Découvrez comment fonctionne le flux d’autorisation de l’appareil et pourquoi vous devriez l’utiliser pour les appareils à saisie limitée, comme les téléviseurs intelligents et les consoles multimédias. À utiliser avec des applications natives.

Faire une requête à votre API au moyen du flux d’autorisation d’appareil

Découvrez comment faire une requête à votre API à partir d’un appareil à capacité de saisie limitée au moyen du flux d’autorisation d’appareil.

Flux implicite avec Form Post

Flux implicite avec Form Post

Découvrez comment fonctionne le flux implicite avec Form Post et pourquoi vous devriez l’utiliser pour les applications web traditionnelles qui n’ont besoin que d’un jeton d’ID pour authentifier les utilisateurs.

Atténuer les attaques par rejeu lors de l’utilisation de l’Implicit Flow

Apprenez à générer et à valider en toute sécurité un nonce cryptographique à utiliser avec l’flux implicite avec Form Post.

Ajouter la connexion avec le flux implicite avec Form Post

Découvrez comment ajouter la connexion à votre application monopage (SPA) à l’aide du flux implicite avec Form Post.

Flux hybride

Flux hybride

Découvrez comment fonctionne le flux hybride pour offrir un accès optimal au jeton ID tout en tirant parti du flux de code d’autorisation pour récupérer de façon sécurisée les jetons d’accès et d’actualisation.

Appelez votre API à l’aide du Hybrid Flow

Découvrez comment exécuter le Hybrid Flow afin que votre application puisse utiliser un jeton d’identité pour accéder aux renseignements sur l’utilisateur, tout en obtenant un code d’autorisation pouvant être échangé contre un jeton d’accès.

Flux de mot de passe du propriétaire de la ressource

Flux Resource Owner Password

Découvrez comment fonctionne le flux Resource Owner Password et pourquoi vous devriez l’utiliser pour des applications hautement fiables.

Effectuer une requête vers votre API à l’aide du flux Resource Owner Password

Découvrez comment effectuer une requête vers votre propre API depuis des applications hautement fiables à l’aide du flux Resource Owner Password.

Éviter les problèmes courants liés au flux Resource Owner Password et à la protection contre les attaques

Découvrez comment éviter les problèmes courants liés à l’utilisation du flux Resource Owner Password pour effectuer des requêtes aux API côté serveur lorsque la protection contre les attaques est activée.