Vérification du courriel pour Azure AD et ADFS

Décrit comment contrôler la façon dont le champ email_verified est défini pour Azure AD et ADFS.

Le profil de l’utilisateur Auth0 comporte un champ email_verified, qui peut être défini de différentes façons selon le type de connexion. Pour les connexions de base de données, les utilisateurs doivent passer par un processus de validation du courriel pour que celui-ci soit vérifié. Pour les connexions fédérées, les fournisseurs d’identité peuvent renvoyer le champ email_verified selon leurs propres critères.

Azure AD et ADFS ne peuvent pas garantir que les courriels qu’ils renvoient ont été vérifiés :

• Dans ADFS, l’administrateur ADFS peut configurer n’importe quelle adresse courriel.
• Dans Azure AD, selon la façon dont le locataire Azure AD est configuré, les adresses courriel renvoyées par Azure AD peuvent ou non correspondre à des boîtes aux lettres Office. Auth0 ne peut pas le déterminer.

Toutefois, si vous savez comment Azure AD ou ADFS est configuré et géré, vous pouvez décider de considérer comme vérifiés les courriels de ces comptes.

Pour répondre à ces deux besoins, les connexions Azure AD et ADFS ont une propriété Vérification du courriel avec deux valeurs :

• Toujours définir email_verified sur true
• Toujours définir email_verified sur false

La connexion Azure AD a aussi une propriété Utiliser le point de terminaison commun. Lorsqu’elle est activée, l’utilisateur peut s’authentifier avec n’importe quel locataire Azure AD. Puisqu’il n’est pas possible de présumer que n’importe quel locataire Azure AD renverra des courriels vérifiés, la propriété Vérification du courriel devra être définie sur Toujours définir email_verified sur false.

Lorsque la propriété est définie sur Toujours définir email_verified sur false, les utilisateurs verront email_verified défini sur false à leur prochaine connexion, à moins que la synchronisation des attributs du profil utilisateur à chaque connexion soit désactivée.

​

Paramètre de migration de vérification du courriel pour les connexions Azure AD/ADFS

Dans les versions précédentes, Auth0 définissait toujours le champ email_verified sur true pour les connexions Azure AD et ADFS. Si vous utilisiez des connexions Azure AD et ADFS par le passé, votre locataire disposera d’un paramètre qui remplacera le paramètre de la connexion pour la vérification du courriel et conservera le comportement précédent.

Vous trouverez le nouveau paramètre du locataire dans Auth0 Dashboard > Settings > Advanced. Repérez la section Migrations, puis trouvez Paramètre Email Verification par défaut pour les connexions Azure AD/ADFS.

Ce paramètre est disponible seulement si :

• le locataire est antérieur à la date d’introduction de la migration
• le locataire possède une ou plusieurs connexions ADFS ou Azure AD actives

Lorsque ce paramètre est désactivé, email_verified sera toujours true pour les connexions Azure AD/ADFS. Lorsqu’il est activé, il utilisera le paramètre Email Verification défini au niveau de la connexion.

​

Flux de vérification du courriel pour les connexions Azure AD/ADFS

Si votre application exige que les courriels des utilisateurs d’une connexion Azure AD/ADFS soient toujours vérifiés, vous pouvez activer l’option Enable email verification flow during login for Azure AD and ADFS connections dans la section Advanced Settings du locataire.

Après la première authentification d’un utilisateur avec un courriel non vérifié, Auth0 lui demandera de vérifier son courriel en saisissant un code à usage unique qui sera envoyé à son adresse courriel :

Si l’utilisateur termine cette étape, le champ email_verified sera défini sur true, et il ne sera plus invité à vérifier son courriel, sauf si Azure AD ou ADFS renvoient un courriel différent pour cet utilisateur.

Ce nouvel écran est affiché dans l’expérience Universal Login, même si vous utilisez Connexion classique. Pour savoir comment le personnaliser, consultez Personnaliser les pages Universal Login.

Pour savoir comment personnaliser le courriel envoyé aux utilisateurs, consultez Vérifier les courriels à l’aide d’Auth0.

Lorsque Azure AD ne renvoie pas de claim email, Auth0 associe le Azure UserPrincipalName au courriel. Rien ne garantit que la valeur UserPrincipalName correspond à une boîte aux lettres. Auth0 n’affichera donc pas l’invite de vérification du courriel, et le champ email_verified de l’utilisateur sera défini sur false.