Authentifier
Gérer les utilisateurs
Personnaliser
PlateformeSécurité des jetons d’identité
Assurez-vous de valider les jetons d’identité avant d’utiliser les informations qu’ils contiennent. Vous pouvez utiliser une bibliothèque pour vous aider dans cette tâche.
Jetons d’identité
Décrit comment les jetons d’identité sont utilisés dans l’authentification par jeton pour mettre en cache les renseignements du profil utilisateur et les fournir à une application cliente.
sont utilisés dans l’authentification par jeton pour mettre en cache les renseignements du profil utilisateur et les fournir à une application cliente, ce qui améliore les performances et l’expérience utilisateur. L’application reçoit un jeton d’identité après qu’un utilisateur s’est authentifié avec succès, puis elle l’utilise pour en extraire des renseignements sur l’utilisateur, qu’elle peut ensuite exploiter pour personnaliser son expérience.
Par exemple, supposons que vous ayez une application Web traditionnelle que vous enregistrez auprès d’Auth0 et que vous configurez pour permettre aux utilisateurs d’ouvrir une session avec Google. Une fois l’utilisateur connecté, utilisez le jeton d’identité pour recueillir des renseignements comme son nom et son adresse courriel, que vous pouvez ensuite utiliser pour générer et envoyer automatiquement un courriel de bienvenue personnalisé.
Les jetons d’identité ne doivent jamais être utilisés pour obtenir un accès direct aux API ni pour prendre des décisions d’autorisation.
Comme pour les autres JWTs, il est recommandé de suivre les pratiques exemplaires d’utilisation des jetons lorsque vous utilisez et stockez des jetons d’identité.
La sécurisation des applications qui effectuent des appels d’API soulève aussi des enjeux particuliers. Vous devrez vous assurer que les jetons et les autres données sensibles ne sont pas vulnérables aux attaques de type cross-site scripting (XSS) et qu’ils ne peuvent pas être lus par du code Javascript malveillant.
Par défaut, un jeton d’identité est valide pendant 36 000 secondes (10 heures). Si vous avez des préoccupations en matière de sécurité, vous pouvez raccourcir sa durée de validité, tout en gardant à l’esprit que l’un des objectifs du jeton est d’améliorer l’expérience utilisateur grâce à la mise en cache des renseignements sur l’utilisateur. Consultez Update ID Token Lifetime pour en savoir plus.