Rotar secretos del cliente

Aprende a rotar el secreto del cliente de una aplicación mediante el Dashboard de Auth0 o la Management API.

Puede cambiar el Secreto del cliente de una aplicación mediante el Auth0 Dashboard o la Auth0 Management API. Cuando rote un Secreto del cliente, debe actualizar todas las aplicaciones autorizadas con el nuevo valor.

Los secretos del cliente no deben almacenarse en aplicaciones cliente públicas. Para obtener más información, consulte Aplicaciones confidenciales y públicas.

Los secretos nuevos pueden tardar hasta treinta segundos en estar disponibles durante la rotación. Para minimizar el tiempo de inactividad, le sugerimos almacenar el nuevo secreto del cliente en la configuración del código o del sistema de su aplicación como respaldo del secreto anterior. De este modo, si una solicitud de la aplicación cliente no funciona con el secreto anterior, su aplicación usará el nuevo secreto.

Los secretos pueden almacenarse en una lista (o una estructura similar) hasta que ya no sean necesarios. Cuando tenga la certeza de que un secreto antiguo ha quedado obsoleto, puede eliminar su valor del código de su aplicación.

​

Usar el Dashboard

1. En el Auth0 Dashboard, ve a Applications > Applications y selecciona el nombre de la aplicación que quieres ver.

   

2. Desplázate hasta la parte inferior de la página Settings, localiza la Danger Zone, selecciona Rotate y confirma.

3. Desplázate hasta la parte superior de la página y cambia a la pestaña Credentials.

4. Consulta tu nuevo secreto; para ello, localiza Secreto del cliente y selecciona el ícono del ojo.

   

5. Actualiza las aplicaciones autorizadas con el nuevo valor.

​

Usar la Management API

1. Llame al endpoint Rotate a client secret de la Management API. Reemplace los marcadores de posición {yourClientId} y MGMT_API_ACCESS_TOKEN por su ID de cliente y su token de acceso de la Management API, respectivamente.

Valor	Descripción
{yourClientId}	El ID de la aplicación que se va a actualizar.
MGMT_API_ACCESS_TOKEN	Tokens de acceso para la Management API con el scope update:client_keys.

2. Actualice las aplicaciones autorizadas con el nuevo valor.

​

Establecer un Secreto del cliente personalizado

Puede usar el endpoint Update a client de la Management API para establecer manualmente un Secreto del cliente, en lugar de solicitar la rotación a un secreto generado automáticamente. La aplicación se configura con el secreto futuro como respaldo antes de que se realice la rotación.

   curl --request PATCH \
   --url https://{TenantDomain}/api/v2/clients/{ClientID} \
   --header 'Authorization: Bearer {AccessToken}' \
   --header 'Content-Type: application/json' \
   --data '{
      "client_secret": "{CustomClientSecret}"
      }'

​

Más información

• Ver los certificados de firma
• Algoritmos de firma
• Cambiar los algoritmos de firma de la aplicación