Authentication API の Cookie

Authentication API の Cookie について、その概要、用途、扱い方を説明します。

Auth0 Authentication API では、シングルサインオン (SSO) 、多要素認証 (MFA) 、および攻撃対策の機能を実現するために、一連の HTTP Cookie を使用します。以下の表は、Authentication API が使用する Cookie の一部と、その用途を示しています。

Cookie	機能	目的
auth0	シングルサインオン	Auth0 セッションレイヤーの実装に使用されます。
auth0_compat	シングルサインオン	sameSite=None 属性をサポートしていないブラウザーで、シングルサインオン用のフォールバック Cookie として使用されます。
auth0-mf	多要素認証	特定のデバイスの信頼レベルを確立するために使用されます。
auth0-mf_compat	多要素認証	sameSite=None 属性をサポートしていないブラウザーで、多要素認証用のフォールバック Cookie として使用されます。
a0_users:sess	Classic Login	Classic Login フローでの CSRF 保護に使用されます。
a0_users:sess.sig	Classic Login	Classic Login フローでの CSRF 保護に使用されます。
did	攻撃対策	攻撃対策のためのデバイス識別に使用されます。
did_compat	攻撃対策	sameSite=None 属性をサポートしていないブラウザーで、異常検知用のフォールバック Cookie として使用されます。

Auth0 は、非標準ブラウザー、ブラウザー拡張機能、HTTP プロキシなどを介して、ここで説明している認証用 Cookie に対して Cookie 属性の追加、変更、削除を含むいかなる変更も加えられるシナリオをサポートしていません。

​

クッキーとカスタムドメイン

カスタムドメインを使用している場合、Authentication API からのクッキーは、Auth0 Dashboard で設定したカスタムホスト名、つまり CNAME に送信されます。クッキーが有効なドメインを指定する各クッキーの domain 属性は、クッキーのリクエストヘッダーで定義され、その domain 属性に一致するドメインに対して適用されます。

ドメインが指定されていない場合、domain 属性はデフォルトで request-host になります。IETF の HTTP State Management Mechanism 仕様を使用して親ドメインにクッキーを設定すると、そのクッキーは親ドメインのすべてのサブドメインで共有されます。

たとえば、CNAME を example_domain.com のサブドメインである login.example_domain.com に設定したとします。さらに、app1.example_domain.com や app2.example_domain.com など、親ドメイン配下で他のアプリケーションをホストしているとします。ユーザーが login.example_domain.com にアクセスすると、app1.example_domain.com と app2.example_domain.com のクッキーが、Auth0 の Authentication API へのリクエストとともに送信されることがあります。

Auth0 ではプラットフォーム保護のため、また、これらのクッキーはかなり大きなサイズに増大する可能性があり、他のサブドメインと共有されることもあるため、ヘッダーが過度に大きい (複数キロバイトの) リクエストを拒否する場合があります。アプリケーションは、サイズが過大なクッキーが Auth0 Authentication API に送信されないように設計する必要があります。カスタムドメイン でのクッキーの挙動について詳しくは、Sending Cookies to the Origin Server を参照してください。

​

詳細

• SameSite Cookie 属性の変更