Configurer et utiliser les Online Refresh Tokens

Configurer les ORT

Les Online Refresh Tokens (ORTs) doivent être activés au niveau de l’API (Resource Server), dans l’Auth0 Dashboard ou au moyen de la Management API.

Configurer à l’aide du Dashboard

Accédez à Dashboard > Applications > API.
Sélectionnez l’API que vous souhaitez configurer.
Dans l’onglet Settings, activez la bascule Allow Online Access.
Sélectionnez Save.

Pour consulter et configurer les valeurs de délai d’inactivité et de durée de vie absolue des sessions, consultez les paramètres Expiration de session du tenant. Pour en savoir plus, lisez Configurer la durée de vie de la session.

Configurer à l’aide de la Management API

Pour activer les ORT, effectuez une requête PATCH au endpoint Update Resource Server :

Auth0 CLI
cURL

Vous utilisez Auth0 CLI? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api patch "resource-servers/<YOUR_RESOURCE_SERVER_ID>" \
  --data '{"allow_online_access": true}'

curl --request PATCH \
  --url 'https://<YOUR_DOMAIN>/api/v2/resource-servers/<YOUR_RESOURCE_SERVER_ID>' \
  --header 'authorization: Bearer <YOUR_MANAGEMENT_API_TOKEN>' \
  --header 'content-type: application/json' \
  --data '{"allow_online_access": true}'

Pour vérifier la configuration, effectuez une requête GET au serveur de ressources :

Auth0 CLI
cURL

auth0 api get "resource-servers/<YOUR_RESOURCE_SERVER_ID>"

curl --request GET \
  --url 'https://<YOUR_DOMAIN>/api/v2/resource-servers/<YOUR_RESOURCE_SERVER_ID>' \
  --header 'authorization: Bearer <YOUR_MANAGEMENT_API_TOKEN>'

La réponse comprend la propriété allow_online_access :

{
  "id": "resource-server-id",
  "name": "My API",
  "identifier": "https://my-api.example.com",
  "allow_online_access": true,
  ...
}

Obtenir un ORT

Pour obtenir un ORT, incluez le scope online_access dans votre requête d’autorisation à l’aide du flux de code d’autorisation ou du flux de code d’autorisation avec PKCE.

https://<YOUR_DOMAIN>/authorize \
    audience=<YOUR_API_AUDIENCE> \
    scope=openid profile online_access \
    response_type=code \
    client_id=<YOUR_CLIENT_ID> \
    redirect_uri=<https://YOUR_APP/callback> \
    state=<OPAQUE_VALUE>

Une fois l’utilisateur authentifié, échangez le code d’autorisation contre des jetons :

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=authorization_code \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'code=<YOUR_AUTHORIZATION_CODE>' \
  --data 'redirect_uri=<https://YOUR_APP/callback>' \
  --data 'code_verifier=<YOUR_CODE_VERIFIER>'

La réponse du jeton comprend l’ORT :

{
  "access_token": "eyJ...",
  "id_token": "eyJ...",
  "refresh_token": "ORT...",
  "token_type": "Bearer",
  "expires_in": 86400
}

Les ORT sont préfixés par ORT afin de les distinguer des jetons d’actualisation. Toutefois, vous devez considérer ce jeton comme opaque et ne pas vous fier à sa structure interne.

Utiliser un ORT

Échangez l’ORT contre un nouveau jeton d’accès lorsque le jeton d’accès actuel expire ou est sur le point d’expirer :

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/token' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data grant_type=refresh_token \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'refresh_token=<YOUR_ONLINE_REFRESH_TOKEN>'

La réponse contient un nouveau jeton d’accès. Si votre requête comprend la portée openid, la réponse contient un nouveau ID token:

{
  "access_token": "eyJ...",
  "id_token": "eyJ...",
  "token_type": "Bearer",
  "expires_in": 86400
}

Auth0 n’émet pas de nouveau refresh_token et, comme les ORT ne font pas l’objet d’une rotation, vous continuez d’utiliser le même ORT pour les échanges suivants.

Comportement de la prolongation de session

Chaque échange de jeton réussi :

Réinitialise le délai d’inactivité de la session : Le délai d’inactivité est rétabli à sa durée complète.
Ne prolonge pas la durée de vie absolue : L’expiration absolue de la session demeure inchangée.
Maintient le SSO : D’autres applications peuvent obtenir des jetons grâce au SSO tant que la session est active.

Révoquer un ORT

Lorsque vous révoquez un ORT, c’est toute la session Auth0 qui prend fin, et non seulement le jeton. Cela invalide tous les ORT liés à cette session et met fin au SSO pour l’utilisateur.

curl --request POST \
  --url 'https://<YOUR_DOMAIN>/oauth/revoke' \
  --header 'content-type: application/x-www-form-urlencoded' \
  --data 'client_id=<YOUR_CLIENT_ID>' \
  --data 'token=<YOUR_ONLINE_REFRESH_TOKEN>'

Utiliser les ORT avec Actions

Vous pouvez utiliser les ORT avec Auth0 Actions et le déclencheur post-login. Avec Actions, vous pouvez :

Utiliser l’objet event.refresh_token pour déterminer si le jeton est un ORT.
Accéder à des données propres à la session au moyen de l’objet event.session afin de prendre des décisions en fonction de l’état actuel de la session

exports.onExecutePostLogin = async (event, api) => {
  // Vérifier si le jeton est un jeton d'actualisation en ligne (ORT)
  
  if (event.refresh_token?.access == 'online') {
    // Le jeton est un ORT, vous pouvez ensuite référencer event.session et api.session
    console.log('Exchanging Online Refresh Token bound to Session ID: ', event.session?.id);
    // Récupérer les métadonnées de session et les ajouter aux jetons
    // En supposant que les métadonnées de session ont été stockées au préalable
    const importantInformation = event.session?.metadata?.importantInformation;
    api.accessToken.setCustomClaim('info', importantInformation);
    api.idToken.setCustomClaim('info', importantInformation);
  }
};

Auth0 révoque toute la session de l’utilisateur, et non pas seulement le jeton, lorsque la méthode api.refreshToken.revoke() est utilisée avec un ORT.

Protect Your Application

Call APIs On User's Behalf

Protect Your Tenant

Compliance

Configurer et utiliser les Online Refresh Tokens

Configurer les ORT

Configurer à l’aide du Dashboard

Configurer à l’aide de la Management API

Obtenir un ORT

Utiliser un ORT

Comportement de la prolongation de session

Révoquer un ORT

Utiliser les ORT avec Actions

En savoir plus

​Configurer les ORT

​Configurer à l’aide du Dashboard

​Configurer à l’aide de la Management API

​Obtenir un ORT

​Utiliser un ORT

​Comportement de la prolongation de session

​Révoquer un ORT

​Utiliser les ORT avec Actions

​En savoir plus

Configurer les ORT

Configurer à l’aide du Dashboard

Configurer à l’aide de la Management API

Obtenir un ORT

Utiliser un ORT

Comportement de la prolongation de session

Révoquer un ORT

Utiliser les ORT avec Actions

En savoir plus