Authenticate
Manage Users
Customize
Platform始める前に
サポートされているサードパーティ CAPTCHA プロバイダー連携のいずれかを使用するには、プロバイダーの設定詳細が必要です。詳しくは、サードパーティ CAPTCHA プロバイダー連携を設定するをご覧ください。
Bot Detection を設定する
有効にすると、検出モデルなどの Bot Detection の設定や応答アクションをカスタマイズできます。これらの設定は、テナント内のすべての接続に適用されます。 Bot Detection を有効にした状態で Response アクションを設定しない場合、Bot Detection は Monitoring モードで動作します。監視モードでは、リスク評価の詳細を含む関連イベントが、確認用にテナントログへ記録されます。詳しくは、View Attack Protection Log Events を参照してください。 Auth0 Dashboard で、Risk Assessment のテナントログを有効にできます。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
-
Detection セクションで、トグルを有効にします。
Risk Assessment のテナントログを有効にするトグルが表示されない場合は、プランをアップグレードする 必要があるかもしれません。 -
Response セクションで、Bot Detection の応答を選択します。
Auth Challenge を使用する場合、Fail open トグルはデフォルトで無効になっています。 Fail Open トグルを有効にすると、次のようになります。
- Bot Detection サービスに接続できない場合、Auth0 は認証プロセスを優先し、CAPTCHA チャレンジなしで続行します。エンドユーザーにはエラーメッセージは表示されず、そのままログインまたは登録できます。
- Bot Detection サービスに接続できる場合、認証プロセスは CAPTCHA チャレンジ付きで続行されます。
Auth Challenge はデフォルトの Bot Detection 応答で、CAPTCHA を使わない Web 体験に加え、より強力なプライバシー保護と優れたユーザー体験を提供します。ダッシュボードに記載されているとおり、このログイン体験には Javascript が必要です。Javascript なしでもログイン体験を動作させる必要がある場合は、Simple CAPTCHA を選択してください。 -
パスワードフロー、パスワードレスフロー、パスワードリセットフローで CAPTCHA を要求するタイミングを選択します。
- Never: ユーザーにログイン時の CAPTCHA 完了を一切求めません。
- When Risky: ログインが Bot Detection レベル の設定に一致する場合にのみ、ユーザーに CAPTCHA の完了を求めます。
- Always: ユーザーにログイン時の CAPTCHA 完了を常に求めます。
-
When Risky または Always を選択すると、Response セクションに CAPTCHA Providers フィールドが表示されます。Auth Challenge (Auth0 提供) 、Simple CAPTCHA (Auth0 提供) 、またはサポートされているサードパーティプロバイダー連携のいずれかを選択します (外部での設定と登録が必要です) 。
- Auth Challenge または Simple CAPTCHA を選択した場合は、これで完了です。ログイン体験が Javascript をサポートしていない場合は、Simple CAPTCHA を選択する必要があります。
- サポートされているサードパーティプロバイダー連携のいずれかを選択した場合は、プロバイダーの設定詳細を入力します。詳しくは、Configure third-party CAPTCHA provider integrations を参照してください。
- Simple CAPTCHA を選択した場合、CAPTCHA 画像はスクリーンリーダーで判読できません。
- When Risky を選択すると、Response セクションに Bot Detection レベル フィールドが表示されます。ユースケースに最も適したセキュリティレベルを選択します。詳しくは、Configure Bot Detection Level を参照してください。
- Save を選択します。
Bot Detection レベルを設定する
Bot Detection レベルの設定を、許容できるリスクとビジネスニーズに合わせて調整します。 選択できる設定は 3 つあります。- Low: ボットによるアクティビティの可能性が高い場合に CAPTCHA をトリガーし、実際のユーザーには比較的負担の少ない体験を提供します。
- Medium: デフォルト。ボットによるアクティビティの可能性が中程度の場合に CAPTCHA をトリガーし、実際のユーザーにとってセキュリティと使いやすさのバランスが取れた体験を提供します。
- High: ボットによるアクティビティの可能性がわずかでもある場合に CAPTCHA をトリガーし、セキュリティは高まりますが、実際のユーザーの負担が増える可能性があります。
信頼できる IP アドレスで Bot Detection を回避する
IP AllowList フィールドに追加すると、最大 100 件の個別の IP アドレスや CIDR 範囲 (IPv4 または IPv6) で Bot Detection を回避できるようになります。Auth0 は、このリストに含まれる IP アドレスまたは CIDR 範囲に対してブロックを適用せず、アラートも送信しません。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
- IP AllowList フィールドに、Bot Detection を回避させる IP アドレスや CIDR 範囲を入力します。複数のアドレスまたは範囲を入力する場合は、カンマで区切ります。
Custom Login Page と Classic Login Experience 向けのサインアップ検知モデルを設定する
Auth0 では、ログインモデルとは別に、固有のシグナルを分析して異なる種類の攻撃に対処する、サインアップ検知用の機械学習モデルを提供しています。 このモデルにより、CAPTCHA の動作をサインアップフローとログインフローで分けられるため、サインアップ攻撃に対する保護を強化しつつ、最新のセキュリティ強化にも対応できます。 Custom Login Page または Classic Login Experience を使用している場合は、 で、Bot Detection がサインアップフローに使用する検知モデルを設定できます。- Auth0 Dashboard > Security > 攻撃対策 に移動し、Bot Detection を選択します。
- Detection Models セクションを探します。
- Signup detection models for custom and classic login pages のトグルを有効にします。