> ## Documentation Index
> Fetch the complete documentation index at: https://translations.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
> Aperçu de la configuration de la liaison à l’émetteur pour votre tenant Auth0.
# Configurer la liaison à l’émetteur
Le [Sender constraining](/docs/fr-ca/secure/sender-constraining) est un mécanisme de sécurité d’OAuth 2.0 et d’OpenID Connect (OIDC) qui lie de façon cryptographique les jetons d’accès et les jetons d’actualisation à l’application cliente précise qui les a obtenus, afin d’empêcher le vol et l’usage abusif de jetons.
Auth0 prend en charge la liaison à l’émetteur mTLS et Demonstrating Proof-of-Possession (DPoP). Si vous activez la liaison à l’émetteur pour une application cliente, vous devez aussi l’imposer pour le serveur de ressources auquel vous faites des appels d’API.
Pour configurer la liaison à l’émetteur dans Auth0, vous devez :
* [Configurer la liaison à l’émetteur pour une application cliente](#configure-sender-constraining-for-a-client-application)
* [Configurer la liaison à l’émetteur pour un serveur de ressources](#configure-sender-constraining-for-a-resource-server)
## Fonctionnement
Les jetons d’accès sont liés à l’émetteur dans Auth0 selon la façon dont vous configurez la liaison à l’émetteur pour votre application cliente et votre serveur de ressources :
1. **Audience demandée :** Dans une demande de jeton, le fait que l’audience demandée soit uniquement `/userinfo`, qu’elle soit destinée à être utilisée seulement avec le point de terminaison [`/userinfo`](https://auth0.com/docs/api/authentication/user-profile/get-user-info), ou qu’il s’agisse d’une API personnalisée pouvant inclure `/userinfo` lorsque vous demandez aussi la portée `openid`, a une incidence sur le fait que les jetons d’accès soient liés à l’émetteur.
2. **Application cliente :** Si vous définissez la liaison à l’émetteur sur `required` pour l’application cliente.
3. **Serveur de ressources :** Si vous configurez la liaison à l’émetteur pour le serveur de ressources :
1. `none` : Vous n’avez pas configuré la liaison à l’émetteur pour le serveur de ressources.
2. `allowed` : Vous avez configuré la liaison à l’émetteur pour le serveur de ressources en définissant une méthode de liaison à l’émetteur.
3. `required` : Vous avez configuré la liaison à l’émetteur comme obligatoire pour le serveur de ressources, ce qui signifie que les jetons d’accès doivent être liés à l’émetteur pour une application. Vous pouvez exiger la liaison à l’émetteur pour toutes les applications ou seulement pour les applications publiques. Nécessite une méthode de liaison à l’émetteur.
Lorsque mTLS est utilisé comme méthode de liaison à l’émetteur, la liaison à l’émetteur est toujours requise pour toutes les applications. Les applications publiques ne sont pas prises en charge avec mTLS; vous ne pouvez donc pas limiter la liaison à l’émetteur mTLS aux clients publics seulement.
* **Preuve de possession :** Si l’application cliente a envoyé une assertion de preuve de possession dans la demande de jeton :
* liaison à l’émetteur mTLS : La preuve de possession est démontrée par la présentation réussie par le client d’une clé privée précise (associée à un certificat client) pendant la négociation TLS.
* DPoP : La preuve de possession est obtenue lorsque le client crée un DPoP Proof JWT en le signant cryptographiquement avec sa clé privée et en incluant le DPoP Proof JWT `DPoP` dans l’en-tête HTTP DPoP de chaque requête où le jeton d’accès associé est utilisé.
Le tableau suivant décrit comment les jetons d’accès sont émis et s’ils sont liés à l’émetteur selon différents paramètres de requête du client et différentes configurations du serveur de ressources Auth0 :
| Type d’audience demandée | Le client exige une PoP ? | Preuve de possession (PoP) envoyée par le client ? | Politique du serveur de ressources Auth0 : aucune | Politique du serveur de ressources Auth0 : autorisée (non requise) | Politique du serveur de ressources Auth0 : requise |
| ----------------------------------------------- | ------------------------- | -------------------------------------------------- | ------------------------------------------------- | ------------------------------------------------------------------ | -------------------------------------------------- |
| Userinfo seulement | Non | Non | Émis, non lié à l’émetteur | S.O. | S.O. |
| Userinfo seulement | Non | Oui | Émis, lié à l’émetteur | S.O. | S.O. |
| Userinfo seulement | Oui | Non | Non émis | S.O. | S.O. |
| Userinfo seulement | Oui | Oui | Émis, lié à l’émetteur | S.O. | S.O. |
| Audience personnalisée (peut contenir Userinfo) | Non | Non | Émis, non lié à l’émetteur | Émis, non lié à l’émetteur | Non émis |
| Audience personnalisée (peut contenir Userinfo) | Non | Oui | Émis, non lié à l’émetteur | Émis, lié à l’émetteur | Émis, lié à l’émetteur |
| Audience personnalisée (peut contenir Userinfo) | Oui | Non | Non émis | Non émis | Non émis |
| Audience personnalisée (peut contenir Userinfo) | Oui | Oui | Non émis | Émis, lié à l’émetteur | Émis, lié à l’émetteur |
## Configurer la liaison à l’émetteur pour une application cliente
Lorsque vous exigez la liaison à l’émetteur pour une application cliente, les jetons d’accès sont liés à cette application. Auth0 vérifie les requêtes afin de s’assurer que seule l’application qui a demandé le jeton peut l’utiliser pour accéder à la ressource associée.
Une fois que vous avez configuré une application cliente pour exiger la liaison à l’émetteur, vous pouvez définir la méthode de liaison à l’émetteur, soit mTLS ou DPoP, lors de la configuration de votre serveur de ressources.
Vous pouvez configurer la liaison à l’émetteur pour une application cliente dans le Auth0 Dashboard ou au moyen de la Management API.
1. Accédez à [Dashboard > Applications > Applications](https://manage.auth0.com/#/applications). Sélectionnez l’application que vous souhaitez configurer.
2. Sous **Settings**, faites défiler jusqu’à **Token Sender-Constraining**.
3. Activez la bascule pour **Require Sender Constraining**. Désactivez-la pour supprimer l’exigence de liaison à l’émetteur pour l’application.
Pour configurer un client pour la liaison à l’émetteur, utilisez la [Management API](https://auth0.com/docs/api/management/v2).
Pour exiger la liaison à l’émetteur pour un client, envoyez une requête PATCH pour [mettre à jour les paramètres du client](https://auth0.com/docs/api/management/v2/clients/patch-clients-by-id). Définissez le paramètre `require_proof_of_possession` à `true`.
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-d '{"require_proof_of_possession": true}'
```
Pour supprimer l’exigence de liaison à l’émetteur, définissez le paramètre `require_proof_of_possession` à `false`.
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/clients/{YOUR_CLIENT_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-d '{"require_proof_of_possession": false}'
```
## Configurer la liaison à l’émetteur pour un serveur de ressources
Les jetons d’accès émis par Auth0 peuvent être liés à l’émetteur (c.-à-d. l’application cliente) qui doit accéder aux API d’un serveur de ressources.
Vous pouvez configurer la liaison à l’émetteur pour un serveur de ressources à l’aide de l’Auth0 Dashboard ou de la Management API.
Pour activer Token Binding ou la liaison à l’émetteur, configurez les **API Settings** de votre API.
1. Accédez à [Auth0 Dashboard > Applications > APIs](https://manage.auth0.com/#/apis).
2. Sélectionnez l’API que vous souhaitez configurer.
3. Sous l’onglet **Settings**, repérez la section **Token Sender-Constraining**.
4. Configurez les éléments suivants :
1. Sender Constraining Method :
1. **None:** N’activez aucune méthode de liaison à l’émetteur pour votre serveur de ressources.
2. **mTLS**: Activez mTLS comme méthode de liaison à l’émetteur pour votre serveur de ressources.
3. **DPoP:** Activez DPoP comme méthode de liaison à l’émetteur pour votre serveur de ressources.
2. Require Token Sender Constraining : Sélectionnez la policy de liaison à l’émetteur qui s’applique à cette API :
1. **Always:** Exigez la liaison à l’émetteur pour toutes les applications. C’est la seule option offerte lorsque vous utilisez mTLS.
2. **For Public Applications:** Exigez la liaison à l’émetteur uniquement pour les applications publiques. Cette option n’est pas offerte lorsque vous utilisez mTLS.
3. **Never:** La liaison à l’émetteur n’est pas requise.
Pour activer la liaison à l’émetteur avec la Management API, envoyez une requête PATCH pour [mettre à jour le serveur de ressources](https://auth0.com/docs/api/management/v2/resource-servers/patch-resource-servers-by-id). Définissez les paramètres de l’objet `proof_of_possession` comme suit :
| Parameter | Description |
| -------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| `mechanism` | Définit la méthode de liaison à l’émetteur : `none`, `mtls` ou `dpop`. |
| `required` | Obligatoire. Lorsqu’il est défini à `true`, les jetons d’accès émis à une application pour cette API seront liés à cette application. Utilisez `required_for` pour préciser les types d’application visés par cette exigence. Lorsqu’il est défini à `false`, la liaison à l’émetteur n’est pas requise. |
| `required_for` | Filtre les types d’application pour lesquels la liaison à l’émetteur est requise lorsque `required` est défini à `true` : `all_clients` (toutes les applications) ou `public_clients` (applications publiques seulement). La valeur par défaut est `all_clients` si elle n’est pas précisée. Lorsque vous utilisez mTLS, seule la valeur `all_clients` est valide. |
L’exemple de code suivant montre un request body qui configure un serveur de ressources pour mTLS liaison à l’émetteur. Comme mTLS ne prend en charge que `all_clients` pour `required_for` (qui est la valeur par défaut), il n’est pas nécessaire de le préciser :
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
"proof_of_possession": {
"mechanism": "mtls",
"required": true
}
}'
```
L’exemple de code suivant montre un request body qui configure un serveur de ressources pour DPoP liaison à l’émetteur, requis uniquement pour les applications publiques :
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
"proof_of_possession": {
"mechanism": "dpop",
"required": true,
"required_for": "public_clients"
}
}'
```
L’exemple de code suivant configure DPoP liaison à l’émetteur comme étant requis pour toutes les applications. Comme `all_clients` est la valeur par défaut, `required_for` peut être omis :
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
"proof_of_possession": {
"mechanism": "dpop",
"required": true
}
}'
```
L’exemple de code suivant désactive la liaison à l’émetteur pour un serveur de ressources (l’équivalent de sélectionner « Never » dans le Dashboard) :
```bash lines theme={null}
curl -L -X PATCH 'https://{YOUR_DOMAIN}/api/v2/resource-servers/{YOUR_RESOURCE_SERVER_ID}' \
-H 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
-H 'Content-Type: application/json' \
-H 'Accept: application/json' \
-d '{
"proof_of_possession": null
}'
```