Skip to main content
Auth0 では、埋め込みログインフォーム (Lock ウィジェットまたはカスタムログインフォーム) がアプリケーション内で資格情報を収集し、Auth0 ドメインに送信する際に、クロスオリジン認証フローを使用します。Auth0 のこのフローには、オリジン間の認証セキュリティを向上させるため、ブラウザー側のチェックに使用するサードパーティ Cookie などの保護機能が組み込まれています。 サードパーティ Cookie を使用することで、Lock と Auth0 のバックエンドは、Lock ウィジェットまたはカスタムログインフォームで (SSO) エクスペリエンスを構築する際に、フィッシングやその他のクロスオリジン攻撃を防ぐために必要なチェックを実行できます。また、SSO が目的でない場合でも、安全なログインエクスペリエンスを実現できます。 クロスオリジン認証は、Web アプリケーションからユーザー名とパスワードを使用してディレクトリに対して認証する場合にのみ適用され、同じアプリで Universal Login と併用して有効にできます。たとえば、アプリケーションでは主要なサインインに Universal Login を使用し、埋め込み型の再認証またはステップアップフローにのみクロスオリジン認証を使用できます。ソーシャル やエンタープライズフェデレーションでは、 Connect や などの標準プロトコルを介したリダイレクトという、別の仕組みが使われます。埋め込みログインを使用するネイティブアプリケーションでは、標準の を直接使用するため、クロスオリジン認証は必要ありません。

​
ブラウザに関する考慮事項

Firefox、ITP を搭載した Safari、Chromium ベースのブラウザを含む最新のブラウザでは、プライバシー保護のため、サードパーティ Cookie がデフォルトで制限またはブロックされます。クロスオリジン認証でサードパーティ Cookie に依存する Web アプリケーションは、これらのブラウザでは動作しない可能性があります。 本番環境の組み込み Web アプリケーションで、埋め込みログインをブラウザ間で確実に動作させるには、アプリケーションと Auth0 テナントに同じトップレベルドメインを使用します。たとえば、アプリを https://example.com でホストし、Auth0 のカスタムドメインを https://login.example.com でホストします。 この構成では Cookie はサードパーティ Cookie ではなくなるため、ブラウザにブロックされません。セキュリティのベストプラクティスとして、同じトップレベルドメインを使用するカスタムドメインまたは複数のカスタムドメインを使用することをお勧めします。 テスト時、または対象ブラウザが明確に定められた管理環境では、サードパーティ Cookie が引き続き許可されている特定のブラウザでクロスオリジン認証を動作させるために、クロスオリジン検証ページを作成してリンクできます。

​
詳しく見る