Adaptive MFA

Découvrez Adaptive MFA, notamment son fonctionnement, comment le personnaliser et quels flux sont pris en charge.

Pour utiliser Adaptive MFA, vous devez disposer d’un Enterprise Plan avec le module complémentaire Adaptive MFA. Consultez Auth0 Pricing pour plus de détails.

Adaptive MFA

est une politique de

MFA

souple et extensible qui peut vous aider à protéger votre tenant contre les

acteurs malveillants

sans compliquer l’expérience des utilisateurs légitimes. Elle évalue le risque potentiel à chaque tentative de connexion, puis demande à l’utilisateur d’effectuer une vérification supplémentaire, au besoin.

​

Fonctionnement

Pendant une transaction de connexion, Adaptive MFA calcule un score de confiance global à partir de l’analyse de trois évaluations du risque :

Évaluateur	Signal de risque	Comment il est calculé
NewDevice	L’utilisateur tente de se connecter à partir d’un appareil qui n’a pas été utilisé pour accéder au compte au cours des 30 derniers jours.	Le user agent et les cookies du navigateur permettent d’identifier un appareil. Au moment de la connexion, les informations sur l’appareil sont comparées à la liste des appareils associés au compte.
ImpossibleTravel	L’utilisateur tente de se connecter à partir d’un emplacement géographique qui indique une situation de trajet impossible par rapport à la dernière connexion.	La distance entre le dernier emplacement valide et l’emplacement de la tentative de connexion est calculée; l’écart de temps entre la dernière connexion et la tentative en cours sert à calculer une vitesse de déplacement hypothétique. Cette vitesse est ensuite comparée à une vitesse de déplacement raisonnable.
UntrustedIP	L’utilisateur tente de se connecter à partir d’une adresse IP reconnue comme étant associée à un comportement suspect.	Auth0 utilise les renseignements tirés des événements de trafic pour déterminer la probabilité que l’adresse IP ait été utilisée par des acteurs malveillants pour mener des attaques à un rythme soutenu.
Score de risque global	Une combinaison des 3 facteurs ci-dessus.	Auth0 utilise les 3 scores pour attribuer un score global. Utilisez Actions si vous souhaitez implémenter votre propre logique métier.

Lorsque Adaptive MFA détermine que le score de confiance global est faible (c’est-à-dire que la transaction de connexion présente un risque élevé), il exige que l’utilisateur vérifie son identité au moyen de la MFA. Si l’utilisateur n’est pas inscrit à la MFA, il doit d’abord effectuer une vérification supplémentaire avant de pouvoir le faire.

Adaptive MFA comprend un processus de sécurité complet qui garantit l’authenticité des utilisateurs :

Adaptive MFA ignore toutes les sessions MFA existantes (par exemple, un utilisateur a sélectionné Se souvenir de ce navigateur lors d’un flux MFA précédent) et ne permet pas aux utilisateurs de contourner les défis MFA.

​

Personnaliser Adaptive MFA

Vous pouvez utiliser Actions pour personnaliser le flux MFA et offrir la meilleure expérience possible à vos utilisateurs.

Pour en savoir plus sur les évaluations du risque, les scores de confiance et les options de personnalisation, consultez Personnaliser Adaptive MFA.

​

Soutien et limitations

​

Flux d’autorisation

Adaptive MFA est pris en charge par tous les flux d’authentification et les flux d’autorisation qui commencent du côté de l’utilisateur final. Pour en savoir plus sur les différents flux et protocoles, consultez Flux d’authentification et d’autorisation et Protocoles.

Protocole	Flux	Pris en charge
OIDC/OAuth2	Flux de code d’autorisation	Pris en charge
OIDC/OAuth2	Flux de code d’autorisation avec PKCE	Pris en charge
OIDC/OAuth2	Flux implicite avec Form Post	Pris en charge
OIDC/OAuth2	Flux hybride	Pris en charge
OIDC/OAuth2	Client Credentials	Non pris en charge
OIDC/OAuth2	Device Authorization	Non pris en charge
OIDC/OAuth2	Resource Owner Password (ROP)	Non pris en charge
OIDC/OAuth2	Custom Token Exchange	Non pris en charge
SAML	Initié par le fournisseur de services (SP-initiated)	Pris en charge
SAML	Initié par le fournisseur d’identité (IdP-initiated)	Non pris en charge*
WS-Federation	S/O	Pris en charge
AD/LDAP	S/O	Pris en charge

*Adaptive MFA n’est pas pris en charge pour les flux SAML initiés par l’IdP, mais vous pouvez simuler ce flux avec des applications OIDC. Pour en savoir plus, consultez Configurer la connexion SAML initiée par l’IdP pour des applications OIDC.

​

Connexions sociales

Adaptive MFA est entièrement pris en charge pour les types de connexion sociale où une adresse courriel est disponible pour chaque utilisateur.

Adaptive MFA exige une adresse courriel pour effectuer l’étape de vérification par courriel qui survient lorsqu’un utilisateur n’est pas inscrit à MFA. Si aucune adresse courriel n’est disponible, Adaptive MFA ne peut pas effectuer cette vérification par courriel et la transaction sera bloquée. Ce scénario n’introduit pas de risque de sécurité, mais il limite les capacités de cette fonctionnalité.

Si vous avez configuré une connexion sociale et vous vous attendez à ce qu’une adresse courriel soit disponible, mais que ce n’est pas le cas, vérifiez votre configuration et confirmez que les scopes, claims et permissions appropriés sont demandés. Pour en savoir plus sur les connexions sociales prises en charge et sur la façon de les installer, consultez Connexions sociales sur Auth0 Marketplace.

​

Fonctionnalités d’Auth0

Le tableau suivant présente les mises en œuvre d’Auth0 et leur prise en charge par Adaptive MFA :

Mise en œuvre du flux de connexion	Niveau de prise en charge d’Adaptive MFA
Universal Login	Pris en charge
Classic Login sans personnalisation	Pris en charge
Classic Login (hébergé par Auth0), page de connexion personnalisée avec le modèle Lock lock.js	Pris en charge
Classic Login (hébergé par Auth0), page de connexion personnalisée avec le modèle Custom Login Form auth0.js	Pris en charge
Classic Login (hébergé par Auth0), page de connexion personnalisée avec flux Passwordless par courriel et modèle Passwordless lock.js	Pris en charge
Classic Login (hébergé par Auth0), page de connexion personnalisée avec flux Passwordless par SMS et modèle Passwordless lock.js	Non pris en charge, car il ne fournit pas d’adresse courriel, ce qui est obligatoire.
Applications Web ou applications natives utilisant le flux Resource Owner Password Grant (ROPG) (y compris celles qui utilisent d’anciennes versions des SDK lock.android et lock.swift	Pris en charge, avec les limitations suivantes : • Fonctionne lorsque tous les utilisateurs finaux sont déjà inscrits à MFA (lorsque les utilisateurs doivent s’y inscrire au moment de l’inscription). Les utilisateurs qui ne sont pas déjà inscrits seront bloqués dans les scénarios à risque. • L’évaluation du risque servant à déterminer si un utilisateur se connecte à partir d’un nouvel appareil ne fonctionnera pas. Le flux ROPG ne prend pas en charge les cookies du navigateur nécessaires pour déterminer le risque. • Vous devez transmettre l’en-tête auth0-forwarded-for avec les renseignements de l’adresse IP d’origine pour que les évaluations du risque liées à la réputation IP fonctionnent.
Applications natives utilisant la plus récente version des SDK qui prennent en charge Universal Login intégré	Pris en charge
Applications natives utilisant la plus récente version des SDK et le flux ROPG	Pris en charge avec les limitations suivantes : • Fonctionne lorsque tous les utilisateurs finaux sont déjà inscrits à MFA (lorsque les utilisateurs doivent s’y inscrire au moment de l’inscription). Les utilisateurs qui ne sont pas déjà inscrits seront bloqués dans les scénarios à risque. • L’évaluation du risque servant à déterminer si un utilisateur se connecte à partir d’un nouvel appareil ne fonctionnera pas. Le flux ROPG ne prend pas en charge les cookies du navigateur nécessaires pour déterminer le risque. • Vous devez transmettre l’en-tête auth0-forwarded-for avec les renseignements de l’adresse IP d’origine pour que les évaluations du risque liées à la réputation IP fonctionnent.
Flux hébergés par vous (et non par Auth0) utilisant lock.js ou auth0.js qui effectuent une authentification inter-origines (endpoint co/authenticate)	Pris en charge

​

Pour en savoir plus

• Activer Adaptive MFA
• Personnaliser Adaptive MFA
• Événements du journal d’Adaptive MFA