Utiliser les jetons d’actualisation

Explique comment utiliser un jeton d’actualisation reçu lors de l’autorisation.

Les jetons d’actualisation servent à demander un nouveau jeton d’accès et/ou un jeton d’identité pour un utilisateur, sans exiger qu’il s’authentifie de nouveau.

En règle générale, vous devriez demander un nouveau jeton d’accès avant l’expiration du précédent (pour éviter toute interruption de service), mais pas chaque fois que vous faites une requête à une API, puisque les échanges de jetons sont assujettis à notre politique de limitation du débit.

Vous pouvez aussi utiliser un jeton d’actualisation pour demander un nouveau jeton d’identité pour un utilisateur, et vous devriez le faire si vous devez actualiser les claims dans le jeton d’identité.

​

Appeler l’API

Pour échanger le jeton d’actualisation que vous avez reçu pendant l’authentification contre un nouveau jeton d’accès, faites une requête au point de terminaison Obtenir un jeton de l’Auth0 Authentication API.

Pour en savoir plus sur les méthodes d’authentification offertes par l’Authentication API, consultez Méthodes d’authentification.

​

Utiliser l’authentification Basic

​

Utiliser l’authentification Post

​

Définition des paramètres

Parameter	Description
grant_type	Type de grant à exécuter.
client_id	ID client de l’application.
client_secret	(Facultatif) Secret client de l’application. Requis uniquement pour les applications confidentielles qui utilisent la méthode Post d’authentification des jetons.
refresh_token	Jeton d’actualisation à échanger.

La réponse comprendra un nouveau jeton d’accès, son type, sa durée de vie (en secondes) et les scopes accordés. Si le scope du jeton initial comprenait openid, un nouveau jeton d’identité figurera également dans la réponse.

{
      "access_token": "eyJ...MoQ",
      "expires_in": 86400,
      "scope": "openid offline_access",
      "id_token": "eyJ...0NE",
      "token_type": "Bearer"
    }

​

Contourner la logique MFA

Si l’authentification multifacteur (MFA) est activée et que le flux d’échange de jeton d’actualisation échoue, vous pouvez utiliser le code Action ci-dessous pour contourner la logique de MFA :

exports.onExecutePostLogin = async (event, api) => {
  // Cette action vous permet de contourner la logique MFA pour le flux d'échange de jeton d'actualisation.

  if (event.transaction.protocol === "oauth2-refresh-token") {
    return;
  }

  //  Ajoutez votre logique MFA
  //  Par exemple : api.multifactor.enable("any");
};

Vous pouvez personnaliser l’exemple de code lorsqu’une logique différente doit être exécutée ou ignorée selon le flow ou le protocole en cours.

​

Personnaliser la MFA

La MFA personnalisable avec les flux Resource Owner Password Grant, Embedded ou jeton d’actualisation est en accès anticipé. En utilisant cette fonctionnalité, vous acceptez les conditions applicables de l’essai gratuit figurant dans le Master Subscription Agreement d’Okta. Pour en savoir plus sur les étapes de publication d’Auth0, consultez Étapes de publication du produit. Pour participer à l’accès anticipé, communiquez avec Auth0 Support.

La MFA personnalisable permet aux utilisateurs d’inscrire les facteurs de leur choix pris en charge par votre application et de les utiliser pour répondre aux demandes de vérification correspondantes.

Pendant l’authentification à l’endpoint oauth/token, la réponse renvoie l’erreur mfa_required, qui comprend le mfa_token à utiliser avec la MFA API ainsi que le paramètre mfa_requirements, avec une liste d’authentificateurs :

{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
      { "type": "email"} //fonctionne uniquement avec challenge
    ]
  }
}

Utilisez le mfa_token pour faire une requête au point de terminaison mfa/authenticator afin d’obtenir la liste de tous les facteurs auxquels l’utilisateur est inscrit et de repérer un type pris en charge par votre application. Vous devez également obtenir le authenticator_type correspondant pour lancer des demandes de vérification :

[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]

Imposez la demande de vérification MFA en appelant le point de terminaison request/mfa/challenge.

Personnalisez encore davantage votre flux MFA avec Auth0 Actions. Pour en savoir plus, consultez Actions Triggers : post-challenge - objet de l’API.

​

En savoir plus

• Obtenir des jetons d’actualisation
• Révoquer des jetons d’actualisation
• Configurer l’expiration des jetons d’actualisation
• Lock.Android : actualiser des JSON Web Tokens