Obtenir des jetons d’accès

Découvrez comment demander des jetons d’accès à l’aide du point de terminaison Authorize lors de l’authentification des utilisateurs, et comment inclure l’audience cible ainsi que la portée d’accès demandée par l’application et accordée par l’utilisateur.

Pour accéder à votre API, vous devez demander un jeton d’accès lors de l’authentification d’un utilisateur.

Ces outils Auth0 vous aident à adapter votre application pour authentifier les utilisateurs :

• Les guides de démarrage rapide constituent la façon la plus simple de mettre en œuvre l’authentification. Ils montrent comment utiliser Universal Login et les SDK Auth0 propres à chaque langage et framework.
• L’API d’authentification Auth0 sert de référence à ceux qui préfèrent coder eux-mêmes. Commencez par déterminer quel flux utiliser, puis suivez les instructions pour le mettre en œuvre.

Pour demander un jeton d’accès, envoyez une requête POST à l’URL du jeton.

​

Exemple de requête POST à l’URL du jeton

Paramètres

Nom du paramètre	Description
grant_type	Définissez-le sur “client_credentials”.
client_id	L’ID client de votre application. Vous trouverez cette valeur dans l’onglet des paramètres de l’application.
client_secret	Le secret client de votre application. Vous trouverez cette valeur dans l’onglet des paramètres de l’application. Pour en savoir plus sur les méthodes d’authentification d’application disponibles, consultez Application Credentials.
audience	L’audience du jeton, c’est-à-dire votre API. Vous trouverez cette valeur dans le champ Identifier de l’onglet des paramètres de votre API.
organization	Facultatif. Le nom ou l’identifiant de l’organisation à laquelle vous souhaitez associer la requête. Pour en savoir plus, consultez Machine-to-Machine Access for Organizations.

​

Réponse

Vous recevez une réponse HTTP 200 avec un corps contenant les valeurs access_token, token_type et expires_in :

{
  "access_token":"eyJz93a...k4laUWw",
  "token_type":"Bearer",
  "expires_in":86400
}

Validez vos jetons avant de les enregistrer. Pour savoir comment faire, consultez Valider les jetons d’identité et Valider les jetons d’accès.

​

Contrôler l’audience du jeton d’accès

Lorsqu’un utilisateur s’authentifie, vous demandez un jeton d’accès et incluez l’audience cible ainsi que la portée d’accès dans votre demande. L’application utilise le point de terminaison `/authorize“ pour demander l’accès. Cet accès est à la fois demandé par l’application et accordé par l’utilisateur pendant l’authentification

Vous pouvez configurer votre tenant pour qu’une audience par défaut soit toujours incluse.

Utilisation du jeton	Format	Audience demandée	Portée demandée
point de terminaison /userinfo	Opaque	nom du tenant (\{yourDomain}), aucune valeur pour le paramètre audience, aucun paramètre audience transmis	openid
API de gestion Auth0	JWT	identificateur d’API de gestion Auth0 v2 (https://{tenant}.auth0.com/api/v2/)
Votre propre API personnalisée	JWT	identificateur d’API de votre API personnalisée enregistrée dans le tableau de bord Auth0

Dans un seul cas précis, les jetons d’accès peuvent avoir plusieurs audiences cibles. Cela exige que l’algorithme de signature de votre API personnalisée soit défini sur RS256. Pour en savoir plus, consultez Token Best Practices.

​

Plusieurs audiences

Si vous indiquez comme audience l’identifiant de votre API personnalisée et comme portée openid, la revendication aud du jeton d’accès obtenu sera un tableau plutôt qu’une chaîne de caractères, et le jeton d’accès sera valide à la fois pour votre API personnalisée et pour le point de terminaison /userinfo. Vos jetons d’accès ne peuvent comporter deux audiences ou plus que si vous utilisez une seule API personnalisée ainsi que le point de terminaison /userinfo d’Auth0.

​

Domaines personnalisés et l’API de gestion Auth0

Auth0 émet des jetons avec une revendication d’émetteur (iss) correspondant au domaine utilisé pour demander le jeton. Les utilisateurs de domaines personnalisés peuvent utiliser soit leur domaine personnalisé, soit leur domaine Auth0.

Par exemple, supposons que vous ayez un domaine personnalisé, https://login.northwind.com. Si vous demandez un jeton d’accès à https://login.northwind.com/authorize, la revendication iss de votre jeton sera https://login.northwind.com/. En revanche, si vous demandez un jeton d’accès à https://northwind.auth0.com/authorize, la revendication iss de votre jeton sera https://northwind.auth0.com/.

Si vous demandez un jeton d’accès à partir de votre domaine personnalisé en ciblant l’API de gestion Auth0 comme audience, vous devez appeler l’API de gestion Auth0 à partir de votre domaine personnalisé. Sinon, votre jeton d’accès sera considéré comme invalide.

​

Renouveler les jetons d’accès

Par défaut, un jeton d’accès pour une API personnalisée est valide pendant 86 400 secondes (24 heures). Vous pouvez réduire la durée de validité du jeton.

Une fois le jeton d’accès expiré, vous pouvez le renouveler. Pour ce faire, réauthentifiez l’utilisateur avec Auth0 ou utilisez un jeton d’actualisation.

​

En savoir plus

• Valider les jetons d’accès
• Utiliser les jetons d’accès
• JSON Web Tokens
• Jetons d’actualisation
• Jetons d’accès du fournisseur d’identité
• Jetons d’accès de l’API de gestion