Configurer les applications tierces

​

Prérequis

• Un tenant Auth0 avec au moins une API (serveur de ressources) configurée
• Au moins une connexion promue au niveau du domaine (pour les flux destinés aux utilisateurs)

​

Créer une application tierce

• Auth0 Dashboard
• Management API

1. Accédez à Applications > Applications.
2. Sélectionnez Create Application.
3. Entrez un nom pour l’application et sélectionnez le type d’application :
   • Regular Web App pour les clients confidentiels côté serveur
   • Single Page App pour les clients publics basés sur le navigateur
   • Native pour les clients publics sur mobile ou ordinateur de bureau
4. Activez la bascule This application is owned by a third party.
5. Sélectionnez Create.

Envoyez une requête POST au point de terminaison /api/v2/clients avec le corps de requête suivant :

Paramètre	Type	Description
name	String	Obligatoire. Le nom de l’application.
is_first_party	Boolean	Indique si l’application est de première partie (true) ou tierce (false).
app_type	String	Le type d’application (p. ex., regular_web, native, spa, non_interactive).
callbacks	Array	Une liste des URL de rappel autorisées pour la redirection après l’authentification.
grant_types	Array	Une liste des grant types OAuth2 que ce client est autorisé à utiliser. Les applications tierces prennent en charge authorization_code, refresh_token et client_credentials. Pour en savoir plus, consultez Security Controls for Third-Party Applications.
token_endpoint_auth_method	String	La méthode d’authentification pour le Token point de terminaison (p. ex., client_secret_post).

En cas de succès, Auth0 crée l’application avec un préfixe de Client ID tpc_, les grant types authorization_code et refresh_token, et définit third_party_security_mode à strict, ce qui indique que des mesures de sécurité renforcées sont activées.

{
  "client_id": "tpc_aBcDeFgHiJkLmNoPqRsTuV",
  "third_party_security_mode": "strict",
  "is_first_party": false,
  "name": "Partner Application",
  "grant_types": ["authorization_code", "refresh_token"],
  ...
}

Paramètre	Type	Description
client_id	String	L’identifiant unique de l’application avec un préfixe tpc pour indiquer qu’il s’agit d’une application tierce créée avec le mode strict activé.
third_party_security_mode	String	Définit le profil de sécurité. Réglez-le à strict pour appliquer des contraintes de sécurité renforcées aux applications tierces.
is_first_party	Boolean	Doit être défini à false lorsque le mode de sécurité strict est utilisé pour identifier l’application comme tierce.
name	String	Le nom d’affichage de l’application.
grant_types	Array	Les grant types OAuth2 que cette application est autorisée à utiliser (p. ex., authorization_code).

​

Configurer les politiques d’accès aux API

• Permissions par application : appliquez des permissions granulaires à chaque application de votre tenant.
• Permissions par défaut pour toutes les applications tierces : appliquez des permissions par défaut à toutes les applications tierces de votre tenant.

​

Permissions par application

• Auth0 Dashboard
• Management API

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Settings.
3. Faites défiler jusqu’à Application Access Policy et définissez User-Delegated Access et Client Access sur Per-app authorization.
4. Sélectionnez Save.

Lorsque vous configurez des permissions par application, vous devez autoriser individuellement l’accès à l’API pour chaque application :

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Application Access.
3. Faites défiler jusqu’à l’application, sélectionnez Edit, puis Grant Access pour User-Delegated Access et/ou Client Access. Sélectionnez ensuite les autorisations voulues.
4. Sélectionnez Save.

​

Permissions par défaut pour toutes les applications tierces

• Auth0 Dashboard
• Management API

1. Accédez à Applications > APIs et sélectionnez l’API.
2. Allez à l’onglet Settings.
3. Faites défiler jusqu’à Default Permissions for Third Party Apps.
4. Sélectionnez Authorized pour User-Delegated Access ou Client Access.
5. Sélectionnez les scopes à accorder, puis cliquez sur Save.

Effectuez une requête POST vers le point de terminaison /api/v2/client-grants avec le corps de la requête suivant :

Paramètre	Type	Description
default_for	String	Indique si ce grant est appliqué automatiquement à certains types d’applications. Définissez-le sur third_party_clients pour que toutes les applications tierces aient accès à cette API par défaut.
audience	String	L’identifiant unique (URI) de l’API pour laquelle le grant est créé.
scope	Array	Une liste de permissions (scopes) autorisées dans le cadre de ce grant.
subject_type	String	Définit le type d’accès applicatif autorisé pour l’API : user : utilisé pour l’accès délégué par l’utilisateur, ce qui correspond aux flux qui génèrent un token associé à un utilisateur final. client : utilisé pour l’accès machine à machine, comme le Client Credentials Flow.

​

Configurer les connexions

1. Accédez à Auth0 Dashboard > Authentification et sélectionnez le type de connexion (Database, Social, Enterprise).
2. Sélectionnez la connexion que vous souhaitez utiliser avec des applications tierces.
3. Activez la bascule Promote Connection to Domain Level.

​

Configurer l’accès aux Organizations

1. La connexion doit être promue au niveau du domaine, comme décrit dans la section ci-dessus.
2. L’Organization doit avoir third_party_client_access défini à allow.

​

Résumé du comportement

​

Configurer la protection contre les redirections ouvertes

• redirige pas vers l’URL de rappel de l’application en cas d’erreur d’authentification
• n’expose pas application.callback_domain dans les modèles de courriel

• Auth0 Dashboard
• Management API

1. Accédez à Applications > Applications et sélectionnez l’application tierce.
2. Accédez à l’onglet Settings et faites défiler jusqu’à Open Redirect Protection.
3. Activez ou désactivez ce paramètre.
4. Sélectionnez Save.

Définissez la propriété redirection_policy lors de la création ou de la mise à jour de l’application :

• Auth0 CLI
• cURL

Vous utilisez l’Auth0 CLI? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api patch "clients/{CLIENT_ID}" \
  --data '{
    "redirection_policy": "allow_always"
  }'

curl --request PATCH \
  --url 'https://{yourDomain}/api/v2/clients/{CLIENT_ID}' \
  --header 'Authorization: Bearer {YOUR_MANAGEMENT_API_TOKEN}' \
  --header 'Content-Type: application/json' \
  --data '{
    "redirection_policy": "allow_always"
  }'

Définissez-la sur open_redirect_protection pour l’activer (par défaut) ou sur allow_always pour la désactiver.

​

Enregistrement dynamique des clients

​

Pour en savoir plus

• Applications tierces
• Contrôles de sécurité pour les applications tierces
• Consentement de l’utilisateur et applications tierces
• Enregistrement dynamique des clients
• Promouvoir les connexions au niveau du domaine