Verificación de correo electrónico para Azure AD y ADFS

Describe cómo controlar cómo se establece el campo email_verified para Azure AD y ADFS.

El perfil de usuario de Auth0 tiene un campo email_verified, que puede establecerse de distintas maneras según el tipo de conexión. En las conexiones de base de datos, los usuarios deben pasar por un flujo de validación del correo electrónico para que este quede verificado. En las conexiones federadas, los proveedores de identidad pueden devolver el campo email_verified según sus propios criterios.

Azure AD y ADFS no pueden garantizar que los correos electrónicos que devuelven hayan sido verificados:

• En ADFS, el administrador de ADFS puede configurar cualquier correo electrónico que desee.
• En Azure AD, según cómo esté configurado el inquilino de Azure AD, las direcciones de correo electrónico que devuelve Azure AD pueden o no corresponder a buzones de Office. Auth0 no puede saber si es así.

Sin embargo, si sabe cómo se configuran y administran Azure AD o ADFS, puede decidir confiar en que los correos electrónicos de esas cuentas están verificados.

Para cubrir ambos casos, las conexiones de Azure AD y ADFS tienen una propiedad de Verificación de correo electrónico con dos valores:

• Establecer siempre email_verified en true
• Establecer siempre email_verified en false

La conexión de Azure AD también tiene una propiedad Use Common Endpoint. Cuando está habilitada, el usuario puede autenticarse con cualquier inquilino de Azure AD. Dado que no es posible confiar en que cualquier inquilino de Azure AD devuelva correos electrónicos verificados, la propiedad Verificación de correo electrónico deberá establecerse en Establecer siempre email_verified en false.

Cuando la propiedad se establece en Establecer siempre email_verified en false, los usuarios recibirán email_verified con el valor false la próxima vez que inicien sesión, a menos que la sincronización de atributos del perfil de usuario en cada inicio de sesión esté deshabilitada.

​

Configuración de migración de la verificación de correo electrónico para Azure AD/ADFS

En versiones anteriores, Auth0 siempre establecía el campo email_verified en true en las conexiones de Azure AD y ADFS. Si en el pasado usó conexiones de Azure AD y ADFS, tendrá una configuración del inquilino que anulará la configuración de la Conexión de Verificación de correo electrónico y mantendrá el comportamiento anterior.

Puede encontrar la nueva configuración del inquilino en Auth0 Dashboard > Settings > Advanced. Busque la sección Migrations y, a continuación, Default to Verificación de correo electrónico setting for Azure AD/ADFS connections.

Esta configuración solo está disponible si:

• el inquilino es anterior a la fecha en que se introdujo la migración
• el inquilino tiene una o más conexiones activas de ADFS o Azure AD

Cuando esta configuración está deshabilitada, email_verified siempre será true para las conexiones de Azure AD/ADFS. Cuando está habilitada, usará la configuración de Verificación de correo electrónico en el nivel de la conexión.

​

Flujo de verificación de correo electrónico para conexiones de Azure AD/ADFS

Si su aplicación requiere que las direcciones de correo electrónico de los usuarios de una conexión de Azure AD/ADFS se verifiquen siempre, puede habilitar la opción Enable email verification flow during login for Azure AD and ADFS connections en la sección Advanced Settings del inquilino.

Después de que el usuario se autentique por primera vez con una dirección de correo electrónico no verificada, Auth0 le pedirá que verifique su correo electrónico ingresando un código de un solo uso que se enviará a su cuenta de correo electrónico:

Si el usuario completa este paso, el campo email_verified se establecerá en true y no se le volverá a pedir que verifique su correo electrónico, a menos que Azure AD o ADFS devuelvan una dirección de correo electrónico diferente para ese usuario.

Esta nueva pantalla se muestra mediante la experiencia de Universal Login, incluso si está usando Classic Login. Para obtener información sobre cómo personalizarla, lea Personalizar las páginas de Universal Login.

Para obtener información sobre cómo personalizar el correo electrónico que se envía a los usuarios, lea Verificar correos electrónicos con Auth0.

Cuando Azure AD no devuelve un claim email, Auth0 asigna Azure UserPrincipalName como correo electrónico. No hay garantía de que el valor de UserPrincipalName corresponda a un buzón de correo, por lo que Auth0 no mostrará la pantalla de verificación de correo electrónico y el campo email_verified del usuario se establecerá en false.