Cookies de l’Authentication API

Découvrez les cookies de l’Authentication API, notamment ce qu’ils sont, à quoi ils servent et comment ils doivent être gérés.

L’Authentication API d’Auth0 utilise un ensemble de cookies HTTP pour activer les capacités d’authentification unique (SSO), d’authentification multifacteur (MFA) et de protection contre les attaques. Le tableau ci-dessous présente certains des cookies dont dépend l’Authentication API et décrit à quoi ils servent :

Cookie	Fonctionnalité	Objectif
auth0	Authentification unique	Sert à mettre en place la couche de session Auth0.
auth0_compat	Authentification unique	Cookie de secours pour l’authentification unique dans les navigateurs qui ne prennent pas en charge l’attribut sameSite=None.
auth0-mf	Authentification multifacteur	Sert à établir le niveau de confiance d’un appareil donné.
auth0-mf_compat	Authentification multifacteur	Cookie de secours pour l’authentification multifacteur dans les navigateurs qui ne prennent pas en charge l’attribut sameSite=None.
a0_users:sess	Classic Login	Sert à la protection contre les attaques CSRF dans les flux Classic Login.
a0_users:sess.sig	Classic Login	Sert à la protection contre les attaques CSRF dans les flux Classic Login.
did	Protection contre les attaques	Identification de l’appareil pour la protection contre les attaques.
did_compat	Protection contre les attaques	Cookie de secours pour la détection des anomalies dans les navigateurs qui ne prennent pas en charge l’attribut sameSite=None.

Auth0 ne prend pas en charge les scénarios où les cookies d’authentification mentionnés sont modifiés de quelque façon que ce soit, y compris par l’ajout, la modification ou la suppression d’attributs de cookie, que ce soit au moyen de navigateurs non standard, de modules complémentaires de navigateur ou de proxys HTTP.

​

Cookies et domaines personnalisés

Si vous utilisez des domaines personnalisés, les cookies de l’Authentication API sont envoyés au nom d’hôte personnalisé, ou CNAME, que vous avez configuré dans le Auth0 Dashboard. L’attribut de domaine de chaque cookie, qui indique le domaine pour lequel le cookie est valide, est défini dans l’en-tête de requête du cookie et doit correspondre à cet attribut de domaine.

Si aucun domaine n’est précisé, l’attribut de domaine correspond par défaut à l’hôte de la requête. Si vous utilisez la spécification HTTP State Management Mechanism de l’IETF pour définir des cookies sur le domaine parent, le cookie sera partagé avec tous les sous-domaines du domaine parent.

Par exemple, vous configurez votre CNAME comme login.example_domain.com, un sous-domaine de example_domain.com. Vous hébergez d’autres applications sous le domaine parent, comme app1.example_domain.com et app2.example_domain.com. Lorsque les utilisateurs visitent login.example_domain.com, les cookies de app1.example_domain.com et app2.example_domain.com peuvent être envoyés avec les requêtes à l’Auth0 Authentication API.

Pour protéger notre plateforme, et parce que ces cookies peuvent atteindre une taille considérable et être partagés avec d’autres sous-domaines, Auth0 peut refuser les requêtes comportant des en-têtes excessivement volumineux (plusieurs kilo-octets). Les applications doivent être conçues de façon à ce que des cookies trop volumineux ne soient pas envoyés à l’Auth0 Authentication API. Pour en savoir plus sur le comportement des cookies avec les domaines personnalisés, consultez Sending Cookies to the Origin Server.

​

En savoir plus

• Modifications de l’attribut de cookie SameSite