Cookies de la API de autenticación

Obtén información sobre las cookies de la API de autenticación, incluido qué son, para qué se utilizan y cómo deben gestionarse.

La API de autenticación de Auth0 utiliza un conjunto de cookies HTTP para habilitar capacidades de inicio de sesión único (SSO), autenticación multifactor (MFA) y protección contra ataques. En la siguiente tabla se muestran algunas de las cookies de las que depende la API de autenticación y se describe su finalidad:

Cookie	Funcionalidad	Finalidad
auth0	Inicio de sesión único	Se utiliza para implementar la capa de sesión de Auth0.
auth0_compat	Inicio de sesión único	Cookie de respaldo para el inicio de sesión único en navegadores que no admiten el atributo sameSite=None.
auth0-mf	Autenticación multifactor	Se utiliza para establecer el nivel de confianza de un dispositivo determinado.
auth0-mf_compat	Autenticación multifactor	Cookie de respaldo para la autenticación multifactor en navegadores que no admiten el atributo sameSite=None.
a0_users:sess	Classic Login	Se utiliza para la protección contra CSRF en los flujos de Classic Login.
a0_users:sess.sig	Classic Login	Se utiliza para la protección contra CSRF en los flujos de Classic Login.
did	Protección contra ataques	Identificación del dispositivo para la protección contra ataques.
did_compat	Protección contra ataques	Cookie de respaldo para la detección de anomalías en navegadores que no admiten el atributo sameSite=None.

Auth0 no admite escenarios en los que las cookies de autenticación indicadas se modifiquen de ningún modo, incluida la adición, modificación o eliminación de atributos de las cookies, ya sea mediante navegadores no estándar, extensiones del navegador o proxies HTTP.

​

Cookies y dominios personalizados

Si usa dominios personalizados, las cookies de la API de autenticación se envían al nombre de host personalizado, o CNAME, que configuró en el Auth0 Dashboard. El atributo de dominio de cada cookie, que especifica el dominio para el que la cookie es válida, se define en el encabezado de solicitud de la cookie y debe coincidir con ese atributo de dominio.

Si no se especifica ningún dominio, el atributo de dominio usa de forma predeterminada el host de la solicitud. Si usa la especificación HTTP State Management Mechanism del IETF para establecer cookies en el dominio principal, la cookie se compartirá con todos los subdominios del dominio principal.

Por ejemplo, configura su CNAME como login.example_domain.com, un subdominio de example_domain.com. Aloja otras aplicaciones en el dominio principal, como app1.example_domain.com y app2.example_domain.com. Cuando los usuarios visitan login.example_domain.com, las cookies de app1.example_domain.com y app2.example_domain.com pueden enviarse junto con las solicitudes a la API de autenticación de Auth0.

Para proteger nuestra plataforma, y dado que estas cookies pueden alcanzar un tamaño considerable y compartirse con otros subdominios, Auth0 puede rechazar solicitudes que incluyan encabezados excesivamente grandes (de varios kilobytes). Las aplicaciones deben diseñarse de modo que no se envíen cookies excesivamente grandes a la API de autenticación de Auth0. Para obtener más información sobre el comportamiento de las cookies con dominios personalizados, consulte Sending Cookies to the Origin Server.

​

Más información

• Cambios en el atributo SameSite de las cookies