Migrer vers l’expiration d’une heure des flux de connexion

Décrit comment activer une expiration d’une heure pour les flux de connexion interactifs.

À compter du 21 février 2024, Auth0 imposera une durée de vie maximale d’une heure pour les flux de connexion basés sur la redirection. Les flux de connexion qui prennent plus d’une heure à se terminer expireront autant dans Universal Login que dans Classic Login.

​

Flux de connexion concernés

Auth0 permet actuellement aux flux de connexion interactifs suivants de durer jusqu’à 3 jours avant d’être complétés :

• Flux de code d’autorisation
• Flux de code d’autorisation avec PKCE
• Authentification inter-origine
• Flux d’autorisation d’appareil
• Flux hybride
• Flux implicite avec envoi de formulaire
• Security Assertion Markup Language (SAML)
• Web Services Federation Protocol (WS-Fed)

À compter du 21 février 2024, Auth0 appliquera une durée de vie maximale d’une heure aux flux d’autorisation indiqués. Les transactions expireront après 1 heure. Après leur expiration, les opérations effectuées à partir du navigateur de l’utilisateur final, comme la saisie de l’adresse courriel et du mot de passe ou la redirection vers Auth0 Actions, etc., auront pour effet de :

• Rediriger vers la route de connexion par défaut de l’application associée afin de relancer le flux avec une nouvelle transaction de connexion Ou
• Afficher une page d’erreur si vous n’avez pas configuré la route de connexion par défaut de l’application ou si vous utilisez Classic Login. L’utilisateur final doit retourner à votre application pour relancer la transaction de connexion. Vous pouvez personnaliser cette page d’erreur à l’aide de Universal Login.

​

Actions

Lorsque vous redirigez les utilisateurs après la déconnexion, redirigez-les vers une page de votre application qui leur permet de se reconnecter à la suite d’une action de leur part (par ex. en cliquant sur le bouton Login), plutôt que de les rediriger directement vers le point de terminaison /authorize d’Universal Login. Le fait de démarrer une nouvelle transaction de connexion sans action explicite de l’utilisateur est la principale cause des transactions qui prennent trop de temps à se terminer, car la nouvelle tentative de connexion reste sans surveillance dans une fenêtre du navigateur et peut être exposée à des attaques malveillantes.

Si vous utilisez Universal Login :

• Nous vous recommandons de configurer des routes de connexion par défaut pour vos applications dans le Auth0 Dashboard ou au moyen de l’Auth0 Management API. Cette méthode démarre automatiquement les transactions de connexion et offre la meilleure expérience utilisateur, car le flux de connexion redémarre de façon fluide pour les utilisateurs finaux actifs lorsque la transaction a expiré.
• Si votre configuration ne permet pas d’utiliser des routes de connexion par défaut, nous vous recommandons de personnaliser les pages d’erreur d’Auth0 afin d’offrir une meilleure expérience utilisateur. Vous pouvez utiliser les pages d’erreur pour indiquer à l’utilisateur de revenir à votre application afin de relancer la tentative de connexion.
• Si vous ne faites ni l’un ni l’autre, nous afficherons la page d’erreur d’Auth0 par défaut :

Si vous utilisez Classic Login, le widget de connexion affichera une erreur et, dans tous les cas où la transaction a expiré, l’utilisateur devra revenir à l’application et réessayer de se connecter.

​

Examiner les journaux du tenant

Si vous souhaitez obtenir plus de renseignements sur le nombre de transactions et d’applications touchées dans votre tenant, consultez les journaux de votre tenant sous Auth0 Dashboard > Monitoring > Logs. Recherchez les journaux Deprecation Notice avec la requête suivante : type:depnote AND description:*Long*state*expirations*. Ces résultats indiqueront les transactions de connexion et les applications (c.-à-d. client_id) qui durent plus d’une heure.

Notez que ces journaux sont soumis à une limite de fréquence, et vous en verrez un par heure par client_id.

​

Vérifier la migration

Après avoir configuré les routes de connexion par défaut ou mis à jour les pages d’erreur d’Auth0 avec des instructions précises pour vos utilisateurs finaux, vous pouvez (dés)activer l’expiration d’une heure à tout moment avant le 21 février 2024 afin de vérifier le comportement de connexion.

1. Accédez à Auth0 Dashboard > Tenant Settings > Advanced et repérez la section Migrations.
2. Désactivez Long state expirations. Lorsque ce paramètre est désactivé, la durée des transactions est limitée à une heure. Lorsqu’il est activé, les transactions peuvent durer jusqu’à 3 jours.