Créer un client
Crée un nouveau client (application ou intégration SSO). Pour en savoir plus, consultez Create Applications API Endpoints for Single Sign-On.
Remarques :
- Nous recommandons de laisser le paramètre
client_secretnon défini afin de permettre la génération d’un secret sécurisé. - Les propriétés
client_authentication_methodsettoken_endpoint_auth_methods’excluent mutuellement. Utilisezclient_authentication_methodspour configurer le client avec la méthode d’authentification Private Key JWT. Sinon, utiliseztoken_endpoint_auth_methodpour configurer le client avec un client secret (basic ou post) ou sans méthode d’authentification (none). - Lorsque vous utilisez
client_authentication_methodspour configurer le client avec la méthode d’authentification Private Key JWT, indiquez des credentials entièrement définis. Ces credentials seront automatiquement activés pour l’authentification Private Key JWT sur le client. - Pour configurer
client_authentication_methods, le scopecreate:client_credentialsest requis. - Pour configurer
client_authentication_methods, la propriétéjwt_configuration.algdoit être définie sur RS256.
Les intégrations SSO créées via cet endpoint accepteront les login requests et partageront les renseignement du profil utilisateur.
Autorisations
Bearer authentication header of the form Bearer <token>, where <token> is your auth token.
Corps
Nom de ce client (longueur minimale : 1 caractère; n’autorise pas < ni >).
^[^<>]+$Description en texte libre de ce client (longueur maximale : 140 caractères).
140URL du logo à afficher pour ce client. La taille recommandée est de 150 x 150 pixels.
Liste d’URL séparées par des virgules qu’Auth0 est autorisé à utiliser comme URL de rappel vers le client après l’authentification.
Configuration du logout OIDC par canal arrière
Configuration du logout OIDC par canal arrière (déconseillé au profit de oidc_logout)
Configuration de Native to Web SSO
Liste d’URL séparées par des virgules autorisées à effectuer des requêtes JavaScript vers l’API Auth0 (généralement utilisée avec CORS). Par défaut, toutes vos URL de rappel seront autorisées. Ce champ vous permet d’entrer d’autres origines au besoin. Vous pouvez aussi utiliser des caractères génériques au niveau des sous-domaines (p. ex., https://*.contoso.com). Les chaînes de requête et les informations de fragment ne sont pas prises en compte lors de la validation de ces URL.
Liste d’origines autorisées, séparées par des virgules, à utiliser avec l’authentification inter-origines, le flux d’appareil et le mode de réponse par message Web.
Liste des audiences/realms pour le protocole SAML. Utilisée par le module complémentaire wsfed.
1Liste des clients autorisés et des ID d’API autorisés à effectuer des requêtes de délégation. Si elle est vide, cela signifie que tous vos clients sont autorisés.
1Liste d’URL séparées par des virgules vers lesquelles la redirection après le logout d’Auth0 est autorisée. Les caractères génériques sont permis pour les sous-domaines.
Liste des types de grant pris en charge pour cette application. Peut inclure authorization_code, implicit, refresh_token, client_credentials, password, http://auth0.com/oauth/grant-type/password-realm, http://auth0.com/oauth/grant-type/mfa-oob, http://auth0.com/oauth/grant-type/mfa-otp, http://auth0.com/oauth/grant-type/mfa-recovery-code, urn:openid:params:grant-type:ciba, urn:ietf:params:oauth:grant-type:device_code et urn:auth0:params:oauth:grant-type:token-exchange:federated-connection-access-token.
1Définit la méthode d’authentification demandée pour le point de terminaison des jetons. Peut être none (client public sans client secret), client_secret_post (le client utilise des paramètres HTTP POST) ou client_secret_basic (le client utilise HTTP Basic).
none, client_secret_post, client_secret_basic Si true, l’IP indiquée dans l’en-tête auth0-forwarded-for est considérée comme l’IP de l’utilisateur final aux fins de la protection contre les attaques par force brute au point de terminaison de jeton.
Le type d’application que ce client représente
native, spa, regular_web, non_interactive, resource_server, express_configuration, rms, box, cloudbees, concur, dropbox, mscrm, echosign, egnyte, newrelic, office365, salesforce, sentry, sharepoint, slack, springcm, zendesk, zoom, sso_integration, oag Indique s’il s’agit ou non d’un client de première partie
Indique si ce client est conforme aux spécifications OIDC strictes (true) ou s’il utilise des fonctionnalités héritées (false).
Configuration liée aux JWT du client.
Chiffrement utilisé pour les réponses WsFed avec ce client.
S’applique uniquement aux clients SSO et détermine si Auth0 gérera l’authentification unique (true) ou si ce sera le fournisseur d’identité (false).
Indique si ce client peut être utilisé pour effectuer des requêtes d’authentification inter-origines (true) ou s’il n’est pas autorisé à en effectuer (false).
URL de l’emplacement sur votre site où s’effectue la vérification inter-origines pour le flux d’authentification inter-origines lorsque l’authentification se fait sur votre propre domaine plutôt que sur la page de connexion hébergée par Auth0.
true pour désactiver l’authentification unique, false sinon (par défaut : false)
true si la page de connexion personnalisée doit être utilisée, false sinon. La valeur par défaut est true
Le contenu (HTML, CSS, JS) de la page de connexion personnalisée.
1Le contenu (HTML, CSS, JS) de la page de connexion personnalisée. (Utilisé dans les aperçus)
1Modèle de formulaire HTML à utiliser pour WS-Federation.
1Modules complémentaires activés pour ce client et leur configuration associée.
Metadata associées au client, sous la forme d’un object contenant des valeurs String (max. 255 caractères). Un maximum de 10 properties de metadata est autorisé. Les field names (max. 255 caractères) sont alphanumériques et peuvent uniquement inclure les caractères spéciaux suivants : :,-+=_*?"/()<>@ [Tab] [Space]
Configuration supplémentaire pour les applications mobiles natives.
URI d’initiation du login, doit utiliser HTTPS
Configurer les paramètres de connexion sociale native
Configurer les paramètres de connexion FedCM pour le nouveau Universal Login
Configuration du Refresh Token
Définit l’ID d’Organization par défaut et les flows.
Définit comment procéder pendant une transaction d’authentification en ce qui concerne une organization. Peut être deny (par défaut), allow ou require.
deny, allow, require Définit comment procéder pendant une transaction d’authentification lorsque client.organization_usage: 'require'. Peut être no_prompt (par défaut), pre_login_prompt ou post_login_prompt. post_login_prompt exige oidc_conformant: true.
no_prompt, pre_login_prompt, post_login_prompt Définit les méthodes offertes pour la découverte de l’organisation pendant le pre_login_prompt. Les utilisateurs peuvent découvrir leur organisation par email, organization_name ou les deux.
1Méthode de découverte des organisations pendant pre_login_prompt. email permet aux utilisateurs de trouver leur organisation en saisissant leur adresse courriel et en effectuant une correspondance de domaine, tandis que organization_name exige qu’ils saisissent directement le nom de l’organisation. Ces méthodes peuvent être combinées.
email, organization_name Définit les méthodes d’authentification du client.
Rend obligatoire l’utilisation des Pushed Authorization Requests pour ce client
Rend obligatoire l’utilisation de Proof-of-Possession pour ce client
Paramètres de JWT-Secured Authorization Requests (JAR).
Paramètres de l’accès privilégié à Token Vault.
Définit le niveau de conformité pour ce client, ce qui peut restreindre ses capacités.
none, fapi1_adv_pkj_par, fapi1_adv_mtls_par, fapi2_sp_pkj_mtls, fapi2_sp_mtls_mtls, null Détermine si une invite de confirmation s’affiche pendant les flux de login lorsque l’URI de redirection utilise des URI de rappel non vérifiables (par exemple, un schéma d’URI personnalisé comme myapp:// ou localhost).
Si la valeur est true, l’invite de confirmation ne s’affichera pas. Nous recommandons de définir cette valeur à false pour une meilleure protection contre les applications malveillantes.
Consultez https://auth0.com/docs/secure/security-guidance/measures-against-app-impersonation pour en savoir plus.
Configuration de l’échange de jetons.
Précise pendant combien de temps, en secondes, une URI de Pushed Authorization Request demeure valide
10 <= x <= 600L’identifiant du serveur de ressources auquel ce client est associé.
1 - 600Configuration de l’utilisation des ID-JAG pour Cross App Access.
Configuration des sessions anonymes pour ce client.
Indique si la liaison réseau doit être appliquée lors de l’utilisation d’un jeton de transfert de session anonyme. Si la valeur est 'ip', le jeton doit être utilisé à partir de la même adresse IP que celle de l’émetteur. Si la valeur est 'asn', le jeton doit être utilisé à partir du même NSA que celui de l’émetteur. Si la valeur est 'none', la liaison n’est pas appliquée. La valeur par défaut est ip.
ip, asn, none Mode de sécurité pour les clients tiers. strict applique des contrôles de sécurité renforcés : alignement sur OAuth 2.1, autorisation explicite de l’API et ensemble sélectionné de fonctionnalités prises en charge. permissive conserve le comportement préexistant et n’est offert qu’aux tenants ayant déjà utilisé des clients tiers. Il est défini à la création et ne peut pas être modifié.
strict, permissive Détermine si Auth0 redirige les utilisateurs vers l’URL de rappel de l’application en cas d’erreur d’authentification ou dans les flux de vérification du courriel. open_redirect_protection affiche plutôt une page d’erreur que d’effectuer une redirection et masque le domaine de rappel dans les modèles de courriel. allow_always active le comportement de redirection standard. La valeur par défaut est open_redirect_protection pour les clients third-party. S’applique uniquement lorsque is_first_party est false et que third_party_security_mode est strict. Pour en savoir plus, consultez la protection contre les redirections.
allow_always, open_redirect_protection Configuration propre à l’application à utiliser avec la fonctionnalité OIN Express Configuration.
Configuration des clients d’intégration B2B.
Configuration liée à My Organization Configuration pour le client.
Tableau des canaux de notification pour communiquer avec l’utilisateur lorsque son approbation est requise. Les valeurs valides sont guardian-push, email, my-account.
1guardian-push, email, my-account Configuration de la prise en charge d’OIDC pour un client. Détermine si les flux OIDC sont autorisés et quelles permissions le client peut demander.
Réponse
Client créé avec succès.
ID de ce client.
L’horodatage ISO 8601 de création de ce client.
L’horodatage ISO 8601 de la dernière mise à jour de ce client.
Nom du locataire auquel appartient ce client.
Nom de ce client (longueur minimale : 1 caractère; n’autorise pas < ni >).
Description en texte libre de ce client (longueur maximale : 140 caractères).
Indique s’il s’agit de votre client global « All Applications », qui représente les paramètres de locataire Legacy (true), ou d’un client ordinaire (false).
Client secret (que vous ne devez pas divulguer publiquement).
Le type d’application que ce client représente
native, spa, regular_web, non_interactive, resource_server, express_configuration, rms, box, cloudbees, concur, dropbox, mscrm, echosign, egnyte, newrelic, office365, salesforce, sentry, sharepoint, slack, springcm, zendesk, zoom, sso_integration, oag URL du logo à afficher pour ce client. La taille recommandée est de 150 x 150 pixels.
Indique si ce client est un client de première partie (true) ou non (false).
Indique si ce client est conforme aux spécifications OIDC strictes (true) ou s’il utilise des fonctionnalités Legacy (false).
Liste d’URL séparées par des virgules qu’Auth0 est autorisé à utiliser comme callback vers le client après l’authentification.
Liste d’URL séparées par des virgules autorisées à effectuer des requêtes JavaScript vers l’API Auth0 (généralement utilisée avec CORS). Par défaut, toutes vos callback URLs seront autorisées. Ce champ vous permet d’entrer d’autres origines au besoin. Vous pouvez aussi utiliser des wildcards au niveau des sous-domaines (p. ex., https://*.contoso.com). Les query strings et les informations de hachage ne sont pas prises en compte lors de la validation de ces URL.
Liste d’origines autorisées, séparées par des virgules, à utiliser avec la Cross-Origin Authentication, le Device Flow et le mode de réponse web message.
Liste des audiences/realms pour le protocole SAML. Utilisée par le module complémentaire wsfed.
Liste des clients autorisés et des ID d’API autorisés à effectuer des requêtes de délégation. Vide signifie que tous vos clients sont autorisés.
Liste d’URL séparées par des virgules vers lesquelles il est permis de rediriger après la déconnexion d’Auth0. Les wildcards sont autorisés pour les sous-domaines.
Configuration de Native to Web SSO
Configuration du logout OIDC par canal arrière
Liste des types de grant pris en charge pour cette application. Peut inclure authorization_code, implicit, refresh_token, client_credentials, password, http://auth0.com/oauth/grant-type/password-realm, http://auth0.com/oauth/grant-type/mfa-oob, http://auth0.com/oauth/grant-type/mfa-otp, http://auth0.com/oauth/grant-type/mfa-recovery-code, urn:openid:params:grant-type:ciba, urn:ietf:params:oauth:grant-type:device_code et urn:auth0:params:oauth:grant-type:token-exchange:federated-connection-access-token.
Configuration liée aux JWT du client.
Certificats de signature associés à ce client.
Chiffrement utilisé pour les réponses WsFed avec ce client.
S’applique uniquement aux clients SSO et détermine si Auth0 gérera l’authentification unique (true) ou si l’Identity Provider s’en chargera (false).
Indique si l’authentification unique est désactivée (true) ou activée (true). La valeur par défaut est true.
Indique si ce client peut être utilisé pour effectuer des requêtes d’authentification cross-origin (true) ou s’il n’est pas autorisé à en effectuer (false).
URL de l’emplacement sur votre site où la vérification cross-origin a lieu pour le flux d’authentification cross-origin lorsque l’authentification est effectuée sur votre propre domain plutôt qu’au moyen de la hosted login page d’Auth0.
Indique si une custom login page doit être utilisée (true) ou si la login page par défaut doit l’être (false).
Le contenu (HTML, CSS, JS) de la custom login page.
Le contenu (HTML, CSS, JS) de la custom login page. (Utilisé dans les aperçus)
Modèle de formulaire HTML à utiliser pour WS-Federation.
Modules complémentaires activés pour ce client et leur configuration associée.
Définit la méthode d’authentification demandée pour le point de terminaison des jetons. Peut être none (client public sans client secret), client_secret_post (le client utilise des paramètres HTTP POST) ou client_secret_basic (le client utilise HTTP Basic).
none, client_secret_post, client_secret_basic Si true, considérer que l’IP précisée dans l’en-tête auth0-forwarded-for est l’IP de l’utilisateur final aux fins de la protection contre les attaques par force brute au token endpoint.
Metadata associées au client, sous la forme d’un object contenant des valeurs String (max. 255 caractères). Un maximum de 10 properties de metadata est autorisé. Les field names (max. 255 caractères) sont alphanumériques et peuvent uniquement inclure les caractères spéciaux suivants : :,-+=_*?"/()<>@ [Tab] [Space]
Configuration supplémentaire pour les applications mobiles natives.
URI d’initialisation du login; doit utiliser HTTPS
Configurer les paramètres de connexion sociale native
Configurer les paramètres de connexion FedCM pour le nouveau Universal Login
Configuration du Refresh Token
Définit l’ID d’Organization par défaut et les flows.
Définit comment procéder pendant une transaction d’authentification en ce qui concerne une organization. Peut être deny (par défaut), allow ou require.
deny, allow, require Définit comment procéder pendant une transaction d’authentification lorsque client.organization_usage: 'require'. Peut être no_prompt (par défaut), pre_login_prompt ou post_login_prompt. post_login_prompt exige oidc_conformant: true.
no_prompt, pre_login_prompt, post_login_prompt Définit les méthodes disponibles pour la découverte de l’organization durant le pre_login_prompt. Les utilisateurs peuvent découvrir leur organization par email, organization_name ou les deux.
1Méthode de découverte des organisations pendant pre_login_prompt. email permet aux utilisateurs de trouver leur organisation en saisissant leur adresse courriel et en effectuant une correspondance de domaine, tandis que organization_name exige qu’ils saisissent directement le nom de l’organisation. Ces méthodes peuvent être combinées.
email, organization_name Définit les méthodes d’authentification du client.
Rend obligatoire l’utilisation des Pushed Authorization Requests pour ce client
Rend obligatoire l’utilisation de Proof-of-Possession pour ce client
Paramètres de JWT-Secured Authorization Requests (JAR).
Paramètres de l’accès privilégié à Token Vault.
Définit le niveau de conformité pour ce client, ce qui peut restreindre ses capacités.
none, fapi1_adv_pkj_par, fapi1_adv_mtls_par, fapi2_sp_pkj_mtls, fapi2_sp_mtls_mtls, null Détermine si un confirmation prompt est affiché durant les flux de login lorsque le Redirect URI utilise des callback URI non vérifiables (par exemple, un schéma d’URI personnalisé comme myapp:// ou localhost).
Si la valeur est true, aucun confirmation prompt ne sera affiché. Nous recommandons de définir cette valeur à false pour une meilleure protection contre les applications malveillantes.
Consultez https://auth0.com/docs/secure/security-guidance/measures-against-app-impersonation pour en savoir plus.
Configuration de l’échange de jetons.
Précise pendant combien de temps, en secondes, un URI de Pushed Authorization Request demeure valide
10 <= x <= 600Configuration propre à l’application à utiliser avec la fonctionnalité OIN Express Configuration.
Configuration des clients d’intégration B2B.
Configuration liée à la configuration My Organization pour le client.
Configuration relative à l’utilisation des ID-JAG pour Cross App Access.
Configuration des sessions anonymes pour ce client.
Indique si la liaison réseau doit être appliquée lors de l’utilisation d’un jeton de transfert de session anonyme. Si la valeur est 'ip', le jeton doit être utilisé à partir de la même adresse IP que celle de l’émetteur. Si la valeur est 'asn', le jeton doit être utilisé à partir du même NSA que celui de l’émetteur. Si la valeur est 'none', la liaison n’est pas appliquée. La valeur par défaut est ip.
ip, asn, none Mode de sécurité pour les clients tiers. strict applique des contrôles de sécurité renforcés : alignement sur OAuth 2.1, autorisation explicite de l’API et ensemble sélectionné de fonctionnalités prises en charge. permissive conserve le comportement préexistant et n’est offert qu’aux tenants ayant déjà utilisé des clients tiers. Il est défini à la création et ne peut pas être modifié.
strict, permissive Détermine si Auth0 redirige les utilisateurs vers l’URL de rappel de l’application en cas d’erreur d’authentification ou dans les flux de vérification du courriel. open_redirect_protection affiche plutôt une page d’erreur que d’effectuer une redirection et masque le domaine de rappel dans les modèles de courriel. allow_always active le comportement de redirection standard. La valeur par défaut est open_redirect_protection pour les clients third-party. S’applique uniquement lorsque is_first_party est false et que third_party_security_mode est strict. Pour en savoir plus, consultez la protection contre les redirections.
allow_always, open_redirect_protection L’identifiant du resource server auquel ce client est associé.
Tableau des canaux de notification pour communiquer avec l’utilisateur lorsque son approbation est requise. Les valeurs valides sont guardian-push, email, my-account.
1guardian-push, email, my-account Indique le type de métadonnées externes utilisé pour enregistrer le client. Ce champ est omis pour les clients ordinaires. La valeur cimd identifie les clients enregistrés au moyen d’un Client ID Metadata Document. La valeur dcr identifie les clients enregistrés au moyen de Dynamic Client Registration.
cimd, dcr Indique qui a créé le client de métadonnées externes. La valeur admin indique que le client a été enregistré au moyen de la Management API. La valeur client indique que le client a été enregistré dynamiquement. Ce champ n’est présent que lorsque external_metadata_type est défini.
admin, client Un autre identifiant de client à utiliser durant les authorization flows. Prend uniquement en charge les identifiants de client basés sur CIMD.
URL du JSON Web Key Set (JWKS) contenant les clés publiques utilisées pour l’authentification private_key_jwt. Présent uniquement pour les clients CIMD utilisant l’authentification private_key_jwt.