Skip to main content
Auth0 émet un ou un en réponse à une requête d’authentification. Vous pouvez utiliser des jetons d’accès pour effectuer des appels authentifiés à une API sécurisée, tandis que le jeton d’identification contient des attributs du profil utilisateur représentés sous forme de claims. Les deux sont des (JWTs) et ont donc une date d’expiration indiquée à l’aide du claim exp, ainsi que des mesures de sécurité, comme des signatures. En général, un utilisateur a besoin d’un nouveau jeton d’accès lorsqu’il accède à une ressource pour la première fois, ou après l’expiration du jeton d’accès précédent qui lui avait été accordé. Un est un artefact d’authentification qu’OAuth peut utiliser pour obtenir un nouveau jeton d’accès sans interaction de l’utilisateur. Cela permet à l’ de réduire la durée de vie du jeton d’accès à des fins de sécurité sans impliquer l’utilisateur lorsque le jeton d’accès expire. Vous pouvez demander de nouveaux jetons d’accès jusqu’à ce que le jeton d’actualisation soit ajouté à la DenyList. Il est important de maintenir le nombre de jetons d’actualisation à un niveau raisonnable et gérable afin d’en assurer une gestion simple et sécurisée. Les applications doivent stocker les jetons d’actualisation de manière sécurisée, car ils permettent essentiellement à un utilisateur de rester authentifié indéfiniment.

Accès hors ligne

Si vous voulez permettre aux utilisateurs d’obtenir des jetons d’actualisation hors ligne, vous pouvez activer le commutateur Allow Offline Access dans API Settings.
Vous pouvez accroître la sécurité en utilisant la rotation des jetons d’actualisation, qui émet un nouveau jeton d’actualisation et invalide le jeton précédent à chaque requête faite à Auth0 pour obtenir un nouveau jeton d’accès. La rotation du jeton d’actualisation réduit le risque qu’un jeton d’actualisation soit compromis.

​
Limitations

  • Auth0 limite à 200 le nombre de jetons d’actualisation actifs par utilisateur et par application. Cette limite s’applique uniquement aux jetons actifs. Si la limite est atteinte et qu’un nouveau jeton d’actualisation est créé, le système révoque et supprime le jeton le plus ancien pour cet utilisateur et cette application. Les jetons révoqués et expirés ne sont pas comptabilisés dans cette limite. Pour consulter nos recommandations et pratiques exemplaires afin d’éviter une accumulation excessive de jetons, lisez Pratiques exemplaires relatives aux jetons.
  • Après un échange de jeton d’actualisation, Auth0 ne met pas à jour les propriétés event.refresh_token.device.last* pour les jetons sans expiration. Pour savoir comment activer l’expiration des jetons d’actualisation, lisez Configurer l’expiration des jetons d’actualisation.

​
Activer l’indicateur OIDC

Le comportement du jeton d’actualisation s’applique aux applications conformes à OIDC. Vous pouvez configurer une application pour qu’elle soit conforme à OIDC de l’une des façons suivantes :
  1. Activer l’indicateur OIDC Conformant pour une application.
  2. Transmettre un claim audience à l’endpoint /authorize de l’Authentication API.

​
Soutien pour le SDK

​
Pour les applications web

Les SDK Auth0 prennent en charge les jetons d’actualisation, notamment :
  • Node.js
  • ASP.NET Core
  • PHP
  • Java
Pour obtenir la liste complète, consultez les Quickstarts.

​
Pour les applications monopages

Offrir une authentification sécurisée dans les SPA comporte plusieurs défis selon le cas d’utilisation de votre application. Les nouveaux mécanismes de protection de la vie privée des navigateurs, comme Intelligent Tracking Prevention (ITP), nuisent à l’expérience utilisateur dans les SPA en bloquant l’accès aux cookies tiers. Auth0 recommande d’utiliser la , qui constitue une méthode sécurisée d’utiliser des jetons d’actualisation dans les SPA tout en offrant aux utilisateurs finaux un accès fluide aux ressources, sans les interruptions de l’expérience utilisateur causées par les technologies de confidentialité des navigateurs comme ITP.

​
Pour les applications natives/mobiles

Pour les applications natives, les jetons d’actualisation améliorent considérablement l’expérience d’authentification. L’utilisateur n’a besoin de s’authentifier qu’une seule fois, au moyen du processus d’authentification Web. Les réauthentifications suivantes peuvent ensuite se faire sans interaction de l’utilisateur, à l’aide du jeton d’actualisation. Pour savoir comment utiliser les jetons d’actualisation avec nos SDK mobiles, consultez :

​
Pour en savoir plus