Skip to main content
2024年2月21日より、Auth0 はリダイレクトベースのログインフローの最大有効期間を1時間に制限します。完了までに1時間を超えるログインフローは、Universal とクラシックログインの両方で期限切れになります。

​
影響を受けるログインフロー

Auth0 では現在、次の対話型ログインフローについて、完了まで最大 3 日間かかることが許可されています。 2024 年 2 月 21 日より、Auth0 は、一覧にある に対して、最大有効期間 1 時間を適用します。トランザクションは 1 時間後に期限切れとなります。期限切れ後は、メールアドレスやパスワードの入力、Auth0 Actions へのリダイレクトなど、エンドユーザーのブラウザーからの操作について、次のいずれかになります。
  • 関連付けられたアプリケーションのデフォルトのログインルートにリダイレクトされ、新しいログイントランザクションでフローが再開されます Or
  • アプリケーションのデフォルトのログインルートを設定していない場合、またはクラシックログインを使用している場合は、エラーページが表示されます。ログイントランザクションを再開するには、エンドユーザーはアプリケーションに戻る必要があります。このエラーページは、 を使用してカスタマイズできます。

​
Actions

ログアウト後にユーザーをリダイレクトする場合は、Universal Login の /authorize エンドポイントに直接リダイレクトするのではなく、何らかのユーザー操作 (たとえば Login ボタンのクリック) に応じて再度ログインできる、アプリケーション内のページにリダイレクトしてください。ユーザーが明示的に開始していない新しいログイントランザクションを始めるパターンは、トランザクションの完了に時間がかかりすぎる主な原因です。新しいログイン試行がブラウザーウィンドウ内で放置され、悪意のある攻撃の対象になる可能性があるためです。 Universal Login を使用している場合:
  • または Auth0 で、アプリケーションのデフォルトのログインルートを設定することをお勧めします。この方法ではログイントランザクションが自動的に開始され、トランザクションの有効期限が切れたときに、アクティブなエンドユーザーのログインフローをシームレスに再開できるため、最良のユーザー体験が得られます。
  • 設定上デフォルトのログインルートを使えない場合は、より良いユーザー体験のために Auth0 のエラーページをカスタマイズすることをお勧めします。エラーページを使って、ログインをやり直すにはアプリケーションに戻るようユーザーに案内できます。
  • 上記のいずれも行わない場合は、Auth0 のデフォルトエラーページが表示されます。
クラシックログインを使用している場合は、どのケースでも、有効期限が切れたトランザクションに対して Login Widget にエラーが表示され、ユーザーはアプリケーションに戻って再度ログインする必要があります。

​
テナントログを確認する

テナント内でどのくらいのトランザクションとアプリケーションが影響を受けているかをさらに詳しく把握したい場合は、Auth0 Dashboard > Monitoring > Logs でテナントのログを確認してください。次の検索条件で Deprecation Notice ログを探します: type:depnote AND description:*Long*state*expirations*。検索結果には、1 時間を超えるログイントランザクションとアプリケーション (つまり client_id) が表示されます。 これらのログにはレート制限があり、client_id ごとに 1 時間あたり 1 件表示される点に注意してください。

​
移行の確認

デフォルトのログインルートを設定した後、またはエンドユーザー向けの具体的な案内を記載して Auth0 のエラーページを更新した後は、ログインの動作を確認するために、2024年2月21日までであればいつでも1時間の有効期限を有効化または無効化できます。
  1. Auth0 Dashboard > Tenant Settings > Advanced に移動し、Migrations セクションを探します。
  2. Long state expirations をオフに切り替えます。この設定を無効にすると、トランザクションの継続時間は1時間のみに制限されます。この設定を有効にすると、トランザクションは最大3日間継続できます。