従来型Webアプリケーションにおける埋め込み型パスワードレスログイン

通常のアプリケーションで、組み込みログインによるパスワードレス認証を実装する方法について説明します。

従来型Webアプリケーションで埋め込みの パスワードレス API を使用するには、Auth0 Dashboard > アプリケーション > アプリケーション のアプリケーション設定で Advanced Settings > Grant Types を開き、Passwordless OTP グラントを有効にしてください。

従来型Webアプリケーション向けのパスワードレス認証は、2 つのステップで構成されます。

1. アプリケーションでユーザー識別子 (ユーザーのメールアドレスまたは電話番号) を取得し、/passwordless/start エンドポイントを呼び出してパスワードレスフローを開始します。すると、ユーザーにメール、使い捨てコードを含む SMS、またはマジックリンクが送信されます。
2. マジックリンクを送信しなかった場合は、ユーザーに使い捨てコードの入力を求め、/oauth/token エンドポイントを呼び出して認証トークンを取得します。

マジックリンクを使用する場合は、/oauth/token を呼び出す必要はありません。ユーザーがマジックリンクをクリックすると、アプリケーションのコールバック URL にリダイレクトされます。

以下に、さまざまなシナリオでこれらの API エンドポイントを呼び出す際に使用できるコードスニペットをいくつか示します。

メールで使い捨てコードを送信する

メールでマジックリンクを送信する

send: link を指定する必要があります。

SMSでワンタイムパスワードを送信

SMSユーザーを認証する

Emailユーザーの認証

マジックリンクでユーザーを認証する

マジックリンクを送信した場合、ユーザーを認証するためにAPIを呼び出す必要はありません。ユーザーはリンクをクリックすると、コールバックURLにリダイレクトされます。

​

レート制限のための auth0-forwarded-for ヘッダーの設定

/passwordless/start エンドポイントには、IP アドレスごとに1時間あたり50リクエストというレート制限があります。サーバーサイドから API を呼び出す場合、バックエンドの IP アドレスがこのレート制限に簡単に達してしまう可能性があります。この問題への対処方法については、Using Passwordless APIs の「Passwordless Endpoints における Rate Limiting」セクションを参照してください。

​

MFA をカスタマイズ

埋め込みフローで MFA をカスタマイズできます。MFA API を使用すると、ユーザーはアプリケーションでサポートされている任意の認証要素を登録し、それを使ったチャレンジを行えるようになります。

Lock for Web を使用する場合、oauth/token エンドポイントは mfa_required エラーを返し、MFA API の使用に必要な mfa_token と、現在アプリケーションがサポートしている認証器の一覧を含む mfa_requirements パラメーターを返します。

{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
      { "type": "email"} //チャレンジでのみ使用可能
    ]
  }
}

mfa_token を使用して mfa/authenticator エンドポイントを呼び出し、ユーザーが登録済みの認証要素をすべて一覧取得したうえで、アプリケーションがサポートするものと同じ type を持つものを特定します。また、チャレンジを発行するには、対応する authenticator_type も取得する必要があります:

[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]

request/mfa/challengeエンドポイントを呼び出して、MFA チャレンジを適用します。

Auth0 Actions を使用して、MFA フローをさらにカスタマイズできます。詳しくは、Actions トリガー: post-challenge - API オブジェクトをご覧ください。