メインコンテンツへスキップ
Auth0 Authentication API では、シングルサインオン (SSO) 、多要素認証 (MFA) 、および攻撃対策の機能を実現するために、一連の HTTP Cookie を使用します。以下の表は、Authentication API が使用する Cookie の一部と、その用途を示しています。
Cookie機能目的
auth0シングルサインオンAuth0 セッションレイヤーの実装に使用されます。
auth0_compatシングルサインオンsameSite=None 属性をサポートしていないブラウザーで、シングルサインオン用のフォールバック Cookie として使用されます。
auth0-mf多要素認証特定のデバイスの信頼レベルを確立するために使用されます。
auth0-mf_compat多要素認証sameSite=None 属性をサポートしていないブラウザーで、多要素認証用のフォールバック Cookie として使用されます。
a0_users:sessClassic LoginClassic Login フローでの CSRF 保護に使用されます。
a0_users:sess.sigClassic LoginClassic Login フローでの CSRF 保護に使用されます。
did攻撃対策攻撃対策のためのデバイス識別に使用されます。
did_compat攻撃対策sameSite=None 属性をサポートしていないブラウザーで、異常検知用のフォールバック Cookie として使用されます。
Auth0 は、非標準ブラウザー、ブラウザー拡張機能、HTTP プロキシなどを介して、ここで説明している認証用 Cookie に対して Cookie 属性の追加、変更、削除を含むいかなる変更も加えられるシナリオをサポートしていません。

​
クッキーとカスタムドメイン

カスタムドメインを使用している場合、Authentication API からのクッキーは、 で設定したカスタムホスト名、つまり CNAME に送信されます。クッキーが有効なドメインを指定する各クッキーの domain 属性は、クッキーのリクエストヘッダーで定義され、その domain 属性に一致するドメインに対して適用されます。 ドメインが指定されていない場合、domain 属性はデフォルトで request-host になります。IETF の HTTP State Management Mechanism 仕様を使用して親ドメインにクッキーを設定すると、そのクッキーは親ドメインのすべてのサブドメインで共有されます。 たとえば、CNAME を example_domain.com のサブドメインである login.example_domain.com に設定したとします。さらに、app1.example_domain.com や app2.example_domain.com など、親ドメイン配下で他のアプリケーションをホストしているとします。ユーザーが login.example_domain.com にアクセスすると、app1.example_domain.com と app2.example_domain.com のクッキーが、Auth0 の Authentication API へのリクエストとともに送信されることがあります。 Auth0 ではプラットフォーム保護のため、また、これらのクッキーはかなり大きなサイズに増大する可能性があり、他のサブドメインと共有されることもあるため、ヘッダーが過度に大きい (複数キロバイトの) リクエストを拒否する場合があります。アプリケーションは、サイズが過大なクッキーが Auth0 Authentication API に送信されないように設計する必要があります。 でのクッキーの挙動について詳しくは、Sending Cookies to the Origin Server を参照してください。

​
詳細