Configurer les Anonymous Sessions

Pour configurer les Anonymous Sessions, vous pouvez utiliser le Auth0 Dashboard ou la Management API.

Prérequis

Pour utiliser les sessions anonymes :

Vous devez avoir un compte Auth0.
Enregistrez votre application Auth0. Si vous n’avez pas d’application Auth0, consultez les Quickstarts Auth0 pour React ou Next.js.
Enregistrez une API (serveur de ressources).

Configurer les sessions anonymes

Auth0 Dashboard
Management API

Accédez à Dashboard > Tenant Settings > Advanced, puis faites défiler jusqu’aux paramètres de session.
Saisissez une valeur en minutes pour Anonymous Session Lifetime.
Activez ou désactivez l’interrupteur Anonymous Session Cookie pour déterminer si les requêtes de session anonyme renvoient le témoin auth0_anon.

Pour configurer la durée de vie de la session anonyme et le comportement du témoin, envoyez une requête PATCH au terminal /api/v2/tenants/settings :

{
  "sessions": {
    "anonymous": {
      "lifetime_in_minutes": 144000,
      "activate_cookie": true
    }
  }
}

lifetime_in_minutes définit la durée de validité d’une session.
activate_cookie détermine si le témoin auth0_anon est émis dans les flux anonymes. Réglez ce paramètre à false si vous prévoyez plutôt utiliser le mécanisme de billet de transfert sans témoin.

Activer les sessions anonymes dans votre application

Auth0 Dashboard
Management API

Accédez à Dashboard > Applications > Applications, puis sélectionnez l’application que vous souhaitez configurer.
Faites défiler jusqu’aux paramètres Anonymous Sessions.
Activez l’interrupteur Allow Anonymous Sessions.

Pour activer les sessions anonymes dans votre application Auth0, envoyez une requête PATCH au terminal /api/v2/clients/{id} :

{
  "anonymous_sessions": {
    "active": true
  }
}

Activer l’accès anonyme dans votre API

Auth0 Dashboard
Management API

Accédez à Dashboard > Applications > APIs, puis sélectionnez l’API que vous souhaitez configurer.
Dans la section Access token expiration, définissez la valeur Anonymous Access Token Lifetime en secondes. Le minimum est d’une journée (86400 secondes) et le maximum, de 30 jours (2592000 secondes).
Sous Application Access Policy, réglez la politique Anonymous Access à Per-app authorization afin d’activer les sessions anonymes qui utilisent ce public pour leurs jetons d’accès.

Pour activer les sessions anonymes dans votre API, envoyez une requête PATCH au terminal /api/v2/resource-servers/{id} :

{
  "token_lifetime_for_anonymous_access_tokens": 86400,
  "subject_type_authorization": {
    "user":           { "policy": "allow_all" },
    "client":         { "policy": "deny_all" },
    "anonymous_user": { "policy": "require_client_grant" }
  }
}

token_lifetime_for_anonymous_access_tokens définit le délai d’expiration, en secondes, des jetons d’accès que cette API émet dans un contexte de session anonyme.
subject_type_authorization.anonymous_user détermine si certaines applications peuvent utiliser cette API dans des sessions anonymes (selon les politiques) ou si cette API interdit totalement l’émission de jetons d’accès anonymes.

Créer une politique d’accès à l’API pour les utilisateurs anonymes

Auth0 Dashboard
Management API

Accédez à Dashboard > Applications > APIs, puis sélectionnez l’API à configurer.
Sélectionnez l’onglet Application Access.
Pour chaque application à laquelle cette API doit émettre des jetons d’accès dans un contexte anonyme, sélectionnez Edit.
Sélectionnez Anonymous Access, puis cliquez sur Configure pour définir les permissions à accorder aux utilisateurs anonymes qui utilisent cette application.
Sélectionnez Save.

Une fois les sessions anonymes activées dans votre API, envoyez une requête POST au terminal /api/v2/client-grants :

{
  "audience": "YOUR_AUDIENCE",
  "client_id": "YOUR_CLIENT_ID",
  "scope": [ "read", "write", "delete" ],
  "subject_type": "anonymous_user"
}

Créer une session anonyme

Une fois les Anonymous Sessions configurées dans votre locataire, votre application et votre API, vous pouvez créer une session anonyme en envoyant une requête POST au terminal /anonymous/token :

{
  "client_id": "YOUR_CLIENT_ID",
  "client_secret": "YOUR_CLIENT_SECRET", // pour les clients confidentiels
  "audience": "YOUR_AUDIENCE",
  "scope": "anon"
}

La réponse contient un session_token et un access_token :

{
  "session_token": "eyJhbGciOiJkaXIiLCJlbmMiOiJBMjU2R0NNIn0...",
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "token_type": "Bearer",
  "expires_in": 86400
}

Configurer des demandes personnalisées

Vous pouvez configurer des demandes personnalisées afin d’associer les métadonnées de session anonyme directement aux jetons d’accès émis pour un public donné. Cela s’avère utile, car aucune Action post-login ne s’exécute avec les sessions anonymes : api.accessToken.setCustomClaim() n’est donc pas disponible pour enrichir les jetons d’accès anonymes, comme c’est le cas pour les jetons authentifiés. Pour en savoir plus, lisez Configurer des demandes personnalisées pour Anonymous Sessions.

Prochaines étapes

Cas d’utilisation des sessions anonymes

Découvrez les cas d’utilisation des sessions anonymes.

Concepts

Procédures

Cas d’utilisation

Configurer les Anonymous Sessions

Prérequis

Configurer les sessions anonymes

Activer les sessions anonymes dans votre application

Activer l’accès anonyme dans votre API

Créer une politique d’accès à l’API pour les utilisateurs anonymes

Créer une session anonyme

Configurer des demandes personnalisées

Prochaines étapes

Cas d’utilisation des sessions anonymes

​Prérequis

​Configurer les sessions anonymes

​Activer les sessions anonymes dans votre application

​Activer l’accès anonyme dans votre API

​Créer une politique d’accès à l’API pour les utilisateurs anonymes

​Créer une session anonyme

​Configurer des demandes personnalisées

​Prochaines étapes

Cas d’utilisation des sessions anonymes

Prérequis

Configurer les sessions anonymes

Activer les sessions anonymes dans votre application

Activer l’accès anonyme dans votre API

Créer une politique d’accès à l’API pour les utilisateurs anonymes

Créer une session anonyme

Configurer des demandes personnalisées

Prochaines étapes