Autenticación sin contraseña integrada para aplicaciones de una sola página (SPA)

Describe cómo implementar la autenticación sin contraseña con inicio de sesión integrado en aplicaciones de una sola página (SPA).

El inicio de sesión integrado para aplicaciones web usa autenticación entre orígenes a menos que configure un dominio personalizado para su inquilino. La autenticación entre orígenes usa cookies de terceros para permitir transacciones de autenticación seguras entre distintos orígenes.

​

Uso de los SDK de Auth0 para implementar el inicio de sesión integrado

Puede implementar el inicio de sesión sin contraseña con el widget Lock de Auth0 o, si necesita un control total sobre la experiencia del usuario, implementarlo con Auth0.js:

• Lock para Web
• Referencia de Auth0.js v9

​

Configurar el uso compartido de recursos entre orígenes (CORS)

Por motivos de seguridad, la URL de origen de tu aplicación debe figurar como una URL aprobada. Si todavía no la agregaste a Allowed Callback URLs de tu aplicación, tendrás que agregarla a la lista de Allowed Origins (CORS).

1. Ve a Auth0 Dashboard > Applications > Applications y selecciona el nombre de tu aplicación para ver su configuración.
2. Busca Allowed Origins (CORS), introduce la URL de origen de tu aplicación y selecciona Save Changes.

​

Personalizar MFA

Personalice MFA con flujos integrados. Use la API de MFA para permitir que los usuarios se inscriban y completen desafíos con los factores de su elección compatibles con su aplicación.

Cuando use Lock for Web, el endpoint oauth/token devuelve el error mfa_required e incluye el mfa_token necesario para usar la API de MFA y el parámetro mfa_requirements con una lista de los autenticadores que su aplicación admite actualmente:

{
  "error": "mfa_required",
  "error_description": "Multifactor authentication required",
  "mfa_token": "Fe26...Ha",
  "mfa_requirements": {
    "challenge": [
      { "type": "otp" },
      { "type": "push-notification" },
      { "type": "phone" },
      { "type": "recovery-code" }
      { "type": "email"} //solo funciona con challenge
    ]
  }
}

Use mfa_token para llamar al endpoint mfa/authenticator, enumerar todos los factores en los que el usuario está inscrito y encontrar el mismo type que admite su aplicación. También debe obtener el authenticator_type correspondiente para emitir desafíos:

[
  {
    "type": "recovery-code",
    "id": "recovery-code|dev_qpOkGUOxBpw6R16t",
    "authenticator_type": "recovery-code",
    "active": true
  },
  {
    "type": "otp",
    "id": "totp|dev_6NWz8awwC8brh2dN",
    "authenticator_type": "otp",
    "active": true
  }
]

Aplique el desafío de MFA llamando al endpoint request/mfa/challenge.

Personalice aún más su flujo de MFA con Actions de Auth0. Para obtener más información, consulte Actions Triggers: post-challenge - API Object.