Authentication API Cookies

Authentication API の Cookie について、その概要、用途、適切な取り扱い方法を説明します。

Auth0 Authentication API は、シングルサインオン (SSO)、多要素認証 (MFA)、および 攻撃対策 の機能を提供するために、一連の HTTP Cookie を使用します。以下の表は、Authentication API が利用する Cookie の一部と、それぞれの用途を示したものです。

Cookie	機能	目的
auth0	シングルサインオン	Auth0 セッションレイヤー を実装するために使用されます。
auth0_compat	シングルサインオン	sameSite=None 属性をサポートしていないブラウザーでシングルサインオンを行うためのフォールバック Cookie。
auth0-mf	多要素認証	特定のデバイスの信頼レベルを確立するために使用されます。
auth0-mf_compat	多要素認証	sameSite=None 属性をサポートしていないブラウザーで多要素認証を行うためのフォールバック Cookie。
a0_users:sess	クラシックログイン	クラシックログインフローでの CSRF 対策に使用されます。
a0_users:sess.sig	クラシックログイン	クラシックログインフローでの CSRF 対策に使用されます。
did	攻撃対策	攻撃対策のためのデバイス識別。
did_compat	攻撃対策	sameSite=None 属性をサポートしていないブラウザーで異常検知を行うためのフォールバック Cookie。

Auth0 は、非標準のブラウザー、ブラウザー add-on、HTTP プロキシなどを介した場合も含め、Cookie 属性の追加、変更、削除など、ここで示した Authentication Cookie が何らかの形で変更されるシナリオをサポートしていません。

​

Cookie とカスタムドメイン

カスタムドメインを使用している場合、Authentication API からの Cookie は、Auth0 Dashboard で設定したカスタムホスト名、つまり CNAME に送信されます。Cookie がどのドメインで有効かを指定する各 Cookie の domain 属性は、Cookie のリクエストヘッダーで定義され、その domain 属性と一致するドメインに適用されます。

ドメインが指定されていない場合、domain 属性はデフォルトでリクエストホストになります。IETF の HTTP State Management Mechanism 仕様を使用して親ドメインに Cookie を設定すると、その Cookie は親ドメインのすべてのサブドメインで共有されます。

たとえば、example_domain.com のサブドメインとして CNAME を login.example_domain.com に設定したとします。また、app1.example_domain.com や app2.example_domain.com など、親ドメイン配下で他のアプリケーションをホストしているとします。ユーザーが login.example_domain.com にアクセスすると、app1.example_domain.com と app2.example_domain.com の Cookie が Auth0 の Authentication API へのリクエストとともに送信されることがあります。

Auth0 ではプラットフォーム保護のため、またこれらの Cookie はサイズがかなり大きくなる可能性があり、他のサブドメインとも共有されることがあるため、過度に大きい (複数キロバイトの) ヘッダーを含むリクエストを拒否する場合があります。アプリケーションは、サイズが大きすぎる Cookie が Auth0 Authentication API に送信されないよう設計する必要があります。カスタムドメイン での Cookie の動作の詳細については、Sending Cookies to the Origin Server を参照してください。

​

詳細はこちら

• SameSite Cookie 属性の変更について