Vérifier à l’aide de codes de récupération

Décrit comment utiliser la MFA API pour vérifier les utilisateurs qui ont perdu l’accès à leur appareil ou à leur compte à l’aide de codes de récupération.

Lorsque les codes de récupération sont activés pour votre tenant, Auth0 les génère automatiquement lorsqu’un utilisateur s’inscrit à l’authentification multifacteur (MFA). L’utilisateur doit conserver son code de récupération. Ce code pourra ensuite être utilisé si l’utilisateur perd l’accès à l’appareil ou au compte servant à l’authentification multifacteur.

Lorsque les codes de récupération sont désactivés, la MFA API ne renvoie pas de code de récupération lorsque vous associez le premier facteur MFA d’un utilisateur, et les utilisateurs ne peuvent pas s’authentifier avec un code de récupération.

Vous pouvez permettre aux utilisateurs de s’authentifier avec un code de récupération à l’aide de la MFA API.

1. Demandez à l’utilisateur son code de récupération. Cette valeur doit être saisie dans l’application pour que l’utilisateur puisse s’authentifier.

   Auth0 ne génère pas de codes de récupération pour DUO ni pour le facteur google-authenticator hérité.

2. Authentifiez l’utilisateur avec un code de récupération. Appelez l’endpoint OAuth Token avec le code de récupération pour l’authentifier et générer un nouveau code de récupération. Vous devez préciser les paramètres suivants :

   Paramètre	Valeur
   grant_type	http://auth0.com/oauth/grant-type/mfa-recovery-code
   recovery_code	Le code de récupération fourni par l’utilisateur.

3. Demandez à l’utilisateur de noter le code de récupération. Si la requête aboutit, vous obtiendrez les jetons d’authentification et un nouveau code de récupération :

   {
       "access_token": "O3...H4",
       "id_token": "eyJh...w",
       "scope": "openid profile",
       "expires_in": 86400,
       "recovery_code": "K6LGLV3RSH3VERMKET8L7QKU",
       "token_type": "Bearer"
   }
   

4. Informez l’utilisateur qu’un nouveau code de récupération a été généré et demandez-lui de le noter.

​

En savoir plus

• Inscrire et vérifier les authentificateurs SMS et vocaux
• Inscrire et vérifier les authentificateurs push
• Inscrire et vérifier les authentificateurs OTP
• Inscrire et vérifier les authentificateurs par courriel
• Auth0 MFA API
• Gérer les facteurs d’authentification avec l’Authentication API