Décrit le fonctionnement de Guardian et la façon dont le Guardian SDK vous aide à créer votre propre authentificateur et des applications semblables à Guardian.
Auth0 Guardian est une application mobile pour les appareils iOS et Android qui permet aux utilisateurs d’effectuer une authentification multifacteur (MFA) au moyen de notifications push ou de mots de passe temporaires à usage unique.Auth0 Guardian peut envoyer des notifications push aux appareils enregistrés des utilisateurs (généralement des téléphones mobiles ou des tablettes) ou générer des mots de passe à usage unique directement dans l’application. Les utilisateurs peuvent ensuite répondre rapidement à ces notifications push ou récupérer un mot de passe à usage unique pour ouvrir leur session.Les utilisateurs peuvent télécharger l’application Auth0 Guardian depuis l’Apple App Store ou le Google Play Store. Vous pouvez aussi intégrer les capacités d’Auth0 Guardian à votre propre application personnalisée à l’aide du Guardian SDK.
Pour utiliser les notifications push, les utilisateurs doivent avoir installé sur leur appareil soit l’application Auth0 Guardian, soit une application personnalisée créée à l’aide du Guardian SDK. Lorsqu’un utilisateur tente de s’authentifier, des notifications push sont envoyées à l’application installée. L’utilisateur doit répondre à la notification pour terminer sa connexion, prouvant ainsi qu’il connaît ses renseignements de connexion et qu’il possède l’appareil configuré pour la .Les notifications push d’Auth0 peuvent être mises en œuvre à l’aide d’AWS Simple Notification Service (SNS) ou d’un ou de plusieurs des services directs aux fournisseurs suivants afin de configurer des intégrations propres à chaque fournisseur :
Firebase Cloud Messaging (FCM)
Pour en savoir plus sur la modification du contenu des notifications push, consultez la documentation de FCM.
Apple Push Notification (APN)
Pour en savoir plus sur la modification du contenu des notifications push, consultez la documentation d’Apple.
Lorsque vous utilisez Auth0 Guardian pour configurer les notifications push, les utilisateurs sont invités à télécharger l’application mobile lorsqu’ils s’inscrivent ou se connectent à votre application pour la première fois. Si vous utilisez le Guardian SDK pour implémenter les notifications push dans une application personnalisée, les utilisateurs ne sont invités à télécharger aucune application pendant l’inscription.Vous pouvez activer les notifications push à partir du sous Sécurité > Authentification multifacteur > Notification push avec Auth0 Guardian.
Lorsqu’un utilisateur s’inscrit ou se connecte à votre application pour la première fois, Universal Login fournit un code QR qu’il peut utiliser pour enregistrer l’application Auth0 Guardian ou une application personnalisée créée avec le Guardian SDK comme facteur d’authentification secondaire. L’utilisateur dispose de peu de temps pour numériser ce code avec l’application désignée afin de terminer son inscription.Une fois l’utilisateur inscrit, il peut utiliser les notifications push comme facteur d’authentification. Chaque fois que l’utilisateur tente de se connecter à votre application, il reçoit une notification push sur son appareil par l’intermédiaire d’Auth0 Guardian ou d’une application personnalisée créée avec le Guardian SDK. L’utilisateur doit approuver cette demande pour se connecter avec succès à votre application.Pour savoir comment réinitialiser la MFA pour les utilisateurs qui ont perdu leur appareil ou leurs codes de récupération, consultez Réinitialiser l’authentification multifacteur et les codes de récupération.
L’application Auth0 Guardian et le Guardian SDK prennent aussi en charge l’utilisation de mots de passe à usage unique temporaires (OTP) comme facteurs d’authentification secondaires. L’application et le SDK peuvent générer des OTP temporaires que les utilisateurs peuvent utiliser pour répondre aux challenges MFA.Par défaut, l’application Auth0 Guardian affiche les applications auxquelles l’utilisateur est inscrit. Après avoir sélectionné une application, l’OTP correspondant s’affiche. Chaque OTP à 6 chiffres demeure valide pendant 30 secondes. Les OTP qui approchent de leur expiration s’affichent en rouge. À l’expiration, l’application génère immédiatement un nouvel OTP. Pour éviter les échecs d’authentification, les utilisateurs ne devraient pas utiliser les OTP affichés en rouge.Dans les applications Guardian SDK personnalisées, l’apparence des OTP peut varier.
Méthode de secours : utiliser les OTP comme solution de secours aux notifications push
Si un utilisateur ne reçoit pas de notification push par l’entremise d’Auth0 Guardian ou d’une autre application personnalisée, il peut plutôt utiliser un OTP temporaire pour terminer son défi MFA.Exemple de parcours utilisateur :
Un utilisateur tente de se connecter à votre application. Il arrive à l’invite MFA de Universal Login, mais ne reçoit pas de notification push.
Dans l’invite MFA, l’utilisateur sélectionne le bouton Manually Enter Code. Il doit sélectionner cette option pour s’authentifier à l’aide d’OTP.
L’utilisateur ouvre l’application Auth0 Guardian ou l’application Guardian SDK personnalisée et sélectionne l’application à laquelle il tente d’accéder.
L’utilisateur copie l’OTP affiché au bas de la page Détails du compte.
L’utilisateur saisit l’OTP dans l’invite MFA pour terminer le défi.
Défi MFA : utiliser les OTP comme défi MFA
Pour permettre aux utilisateurs de s’authentifier avec des OTP, vous devez activer One-Time Password comme facteur MFA pour votre tenant. Une fois cette option activée, les utilisateurs peuvent répondre aux invites MFA à l’aide d’OTP lorsqu’ils se connectent par l’entremise de Universal Login. Pour activer les facteurs MFA, accédez à Auth0 Dashboard > Sécurité > Authentification multifacteur.Les utilisateurs peuvent s’inscrire à OTP comme facteur MFA lors de leur première inscription ou de leur première connexion à votre application. Selon le type d’appareil utilisé, Universal Login affiche l’un des éléments suivants :
Pour les appareils non mobiles : Universal Login présente un code QR que l’utilisateur peut balayer pour poursuivre l’inscription.
Pour les appareils mobiles : Universal Login saute l’étape du code QR et affiche plutôt directement le code d’inscription.
Dans les deux cas, les utilisateurs peuvent suivre les étapes à l’écran pour enregistrer soit l’application Auth0 Guardian, soit une application Guardian SDK personnalisée comme facteur d’authentification secondaire. En règle générale, ce processus consiste à demander à l’utilisateur d’ajouter votre application à l’application appropriée et à récupérer l’OTP correspondant pour cette application. L’utilisateur saisit ensuite l’OTP dans l’invite Universal Login pour terminer le processus d’inscription.La prochaine fois que l’utilisateur tentera de se connecter à votre application après avoir terminé l’inscription, il pourra s’authentifier en saisissant un OTP provenant de son application Auth0 Guardian ou Guardian SDK personnalisée dans le défi.
Dans l’application Auth0 Guardian, les utilisateurs peuvent activer un code d’accès et la biométrie comme couches de sécurité supplémentaires sur iOS et Android. Si un utilisateur active une ou plusieurs de ces options, il doit effectuer ces vérifications avant de pouvoir répondre aux notifications push ou récupérer des mots de passe à usage unique.Pour activer ces options sur un appareil iOS ou Android, les utilisateurs peuvent suivre les étapes ci-dessous.
iOS
Android
Pour activer les paramètres de sécurité de l’application Auth0 Guardian sur iOS :
Dans l’application, sélectionnez l’icône d’engrenage pour ouvrir le menu Paramètres.
Sélectionnez Code d’accès pour activer la protection par code d’accès.
Définissez et confirmez un code d’accès à 6 chiffres.
L’application est maintenant protégée par le code d’accès. L’utilisateur doit saisir ce code d’accès avant de pouvoir répondre aux notifications push ou récupérer des OTP.Après avoir activé la protection par code d’accès, l’utilisateur peut configurer la biométrie de l’appareil comme mesure de sécurité de rechange. Pour activer la biométrie de l’appareil :
Dans l’application, sélectionnez l’icône d’engrenage pour ouvrir le menu Paramètres.
Activez la biométrie de l’appareil en sélectionnant l’une des options offertes, comme Face ID ou Touch ID.
Pour activer les paramètres de sécurité de l’application Auth0 Guardian sur Android :
Dans l’application, sélectionnez le menu à trois points pour ouvrir le menu Paramètres.
Activez le commutateur de l’option Toujours demander la phrase secrète.
Saisissez la phrase secrète définie lors de la configuration de l’application Auth0 Guardian.
L’application est maintenant protégée par la phrase secrète Auth0 Guardian. L’utilisateur doit saisir cette phrase secrète avant de pouvoir répondre aux notifications push ou récupérer des OTP.Après avoir activé la protection par phrase secrète, l’utilisateur peut configurer la biométrie de l’appareil comme mesure de sécurité de rechange. Pour activer la biométrie de l’appareil :
Dans l’application, sélectionnez le menu à trois points pour ouvrir le menu Paramètres.
Activez le commutateur de l’option Utiliser la biométrie pour déverrouiller.
L’application Auth0 Guardian prend en charge la localisation dans plusieurs langues et dialectes sur iOS et Android.Dans la section Language du menu Settings, les utilisateurs peuvent sélectionner leur langue de préférence. Par défaut, l’application utilise la même langue que le système de l’appareil.
La majeure partie du contenu des notifications push s’affiche dans la langue de préférence des utilisateurs. Cependant, les titres des notifications push ne sont pas traduits, car les paramètres de langue ne sont récupérés qu’une fois le titre déjà généré.
L’application Auth0 Guardian prend en charge les langues et dialectes suivants :
L’application Auth0 Guardian pour iOS et Android prend en charge les thèmes clair et sombre.Dans la section Theme du Settings menu, les utilisateurs peuvent sélectionner les options suivantes :
Options de personnalisation des applications protégées
Pour aider les utilisateurs à distinguer plus facilement leurs applications protégées dans l’application Auth0 Guardian, chaque application peut être personnalisée avec un nom distinct, une couleur d’accent et une icône.
Le nom par défaut de votre application dans l’application Auth0 Guardian est déterminé par votre nom du tenant ou par le nom convivial défini dans vos paramètres du tenant. De même, le logo par défaut est tiré de l’URL du logo fournie dans vos paramètres du tenant.Pour modifier les paramètres de votre tenant, accédez à Auth0 Dashboard > Settings > General.
Pour personnaliser une application protégée :
Sélectionnez une application dans la liste.
Conseil : Vous pouvez aussi balayer vers la gauche sur l’application pour afficher les options Modifier et Supprimer.
Sur la page Détails du compte, choisissez Modifier.
Mettez à jour le nom, la couleur et l’icône de l’application au besoin.
Vous pouvez installer le Guardian SDK (offert pour iOS et Android) pour créer votre propre application d’authentification multifactorielle avec un contrôle total sur l’image de marque et l’apparence. Avec le Guardian SDK, vous pouvez créer vos propres applications mobiles personnalisées qui fonctionnent comme Guardian ou intégrer certaines fonctionnalités de Guardian, comme la réception de notifications push dans vos applications mobiles existantes. Un cas d’utilisation typique serait une application bancaire. Vous pouvez utiliser le Guardian SDK dans votre application mobile existante pour recevoir et confirmer des notifications push lorsqu’une personne effectue une transaction à un guichet automatique bancaire.
Utiliser Actions pour activer l’authentification multifacteur avec Auth0 Guardian
Pour activer Auth0 Guardian dans une Action, utilisez guardian comme valeur du paramètre provider lorsque vous activez l’authentification multifacteur :
Authentification multifacteur avec Auth0 Guardian et Authorization Extension
Ce modèle fournit un exemple et un point de départ pour déclencher l’authentification multifacteur avec Auth0 Guardian au moyen de notifications push lorsqu’une condition est remplie.Lors de la première connexion, l’utilisateur peut enregistrer son appareil. Consultez Activer l’authentification multifacteur pour en savoir plus sur M
exports.onExecutePostLogin = async (event, api) => {const groups = event.user.app_metadata.authorization.groups;const GROUPS_WITH_MFA = {// Ajouter ici les groupes qui nécessitent l'AMF// Exempleadmins: true};const needsMFA = !!groups.find(function (group) {return GROUPS_WITH_MFA[group];});if (needsMFA) {// facultatif, vrai par défaut. Mettre à faux pour forcer l'authentification Guardian à chaque fois.// Voir https://auth0.com/docs/secure/multi-factor-authentication/customize-mfa#change-frequency-of-mfa-prompts pour plus de détailsapi.multifactor.enable('guardian', { allowRememberBrowser: false });}};
Authentifier
Gérer les utilisateurs
Personnaliser
Plateforme
