Vérifier les appels d’API

Découvrez comment vérifier les appels d’API pour diagnostiquer les problèmes.

Vérifier les appels à la Management API

• Avez-vous un jeton d’accès à la Management API?

• Le jeton d’accès a-t-il expiré?

• Le jeton d’accès contenait-il les scopes nécessaires pour l’appel que vous avez effectué?

• Si une Rule ajuste les scopes dans le jeton d’accès ou vérifie si certains utilisateurs sont autorisés à les avoir, avez-vous vérifié la Rule pour vous assurer qu’elle s’exécute correctement?

• Récupérez le jeton d’accès à partir d’un fichier HAR et testez-le dans l’Auth0 Management API Explorer pour vérifier s’il y fonctionne.

  Avant de partager un fichier HAR avec qui que ce soit (y compris Auth0), assurez-vous de supprimer ou de masquer toutes les données sensibles, telles que :

  • Renseignements confidentiels sur l’utilisateur
  • Renseignements personnels identifiables (PII)
  • Renseignements confidentiels sur l’application

  Pour en savoir plus, consultez les articles suivants sur Auth0 Community :

  • Sanitizing HTTP Traces
  • How to Sanitize an HTTP Trace File Automatically
  • How to Manually Redact Sensitive Information
  • HAR File is Too Large to Upload to the Support Case

• Si vous appelez la Management API d’Auth0 à partir d’une application qui utilise le flux d’identification du client, notez que les Rules ne sont pas exécutées dans ce contexte. Pour obtenir une fonctionnalité semblable à une Rule, vous pouvez plutôt utiliser une Action dans le flux machine à machine sur le déclencheur credentials-exchange.

Vérifiez les autres appels à l’API

• Vérifiez dans le fichier HAR si le jeton d’accès contient les scopes appropriés pour appeler l’API.

  Avant de partager un fichier HAR avec qui que ce soit (y compris Auth0), assurez-vous de supprimer ou d’obfusquer toutes les données sensibles, telles que :

  • Renseignements confidentiels sur l’utilisateur
  • Renseignements personnels identifiables (PII)
  • Renseignements confidentiels sur l’application

  Pour en savoir plus, consultez les articles suivants dans Auth0 Community :

  • Sanitizing HTTP Traces
  • How to Sanitize an HTTP Trace File Automatically
  • How to Manually Redact Sensitive Information
  • HAR File is Too Large to Upload to the Support Case

• Vérifiez si la réponse à l’appel du point de terminaison /authorize contient un objet scopes. Si c’est le cas, vérifiez si les scopes renvoyés diffèrent des scopes demandés.

• Assurez-vous que votre API peut valider le Jeton d’accès. Elle doit valider l’audience, l’émetteur, l’application (le cas échéant), l’algorithme de signature, la signature, les revendications et les autorisations.

• Si vous rencontrez des erreurs liées à l’expiration du jeton d’accès, elles peuvent être causées par des écarts d’horloge entre différents systèmes, voire entre différentes bibliothèques selon le langage, comme Java et Node.js. Vous pouvez y remédier en exécutant NTP sur les serveurs et en configurant une tolérance aux écarts d’horloge dans les bibliothèques utilisées pour valider les jetons, comme jwt.verify.

Consultez la page Monitoring pour en savoir plus sur chacun des événements du journal qui peuvent vous aider à résoudre des problèmes.

En savoir plus

• Appelez votre API avec le flux de code d’autorisation avec PKCE
• Appelez votre API avec le flux de code d’autorisation
• Appelez votre API avec le flux d’identification du client
• Appelez votre API avec le flux d’autorisation de l’appareil