Gérer les jetons d’actualisation avec Actions

• event.refresh_token: Fournit des renseignements pertinents sur les refresh_tokens existants, notamment id, created_at, expires_at, idle_expires_at, clients_id, les renseignements sur device, comme ASN, IP et User_agent, ainsi que, pour les flux dans le navigateur, session_id. Cet objet est renseigné par les flux d’échange de jeton d’actualisation.
• api.refreshToken: Vous permet de gérer les jetons d’actualisation existants en révoquant des sessions ou en modifiant les dates d’expiration.

• Event object : Découvrez l’objet Event du jeton d’actualisation et ses propriétés.
• API object : Découvrez l’objet API du jeton d’actualisation et ses méthodes.

​

Révoquer des jetons d’actualisation avec Actions

​

Surveiller les événements de journal liés à la révocation

​

Modifier les dates d’expiration des jetons d’actualisation avec Actions

• api.refreshToken.setExpiresAt(absolute) vous permet de définir une nouvelle date d’expiration absolue pour un jeton d’actualisation donné.
• api.refreshToken.setIdleExpiresAt(idle) vous permet de définir une nouvelle date d’expiration liée au délai d’inactivité pour un jeton d’actualisation donné.

• l’organisation d’un utilisateur
• la connexion Auth0 d’un utilisateur
• l’appartenance à un groupe d’un utilisateur donné ou son profil
• l’évaluation des risques
• tout autre critère dynamique disponible lors de l’exécution de l’Action

​

Limitations

• Les jetons d’actualisation émis le 21-09-2023 ou après cette date (le 22-02-2024 pour les tenants de la région US-3) contiennent la propriété d’ID de session (session_id) avec la valeur appropriée. Les jetons d’actualisation émis avant cette date contiennent cette propriété avec une valeur null.
• Les jetons d’actualisation émis avant la publication de la méthode d’API post-login api.refreshToken.revoke(reason) ne contiendront pas l’information event.refresh_token.device.
• Les jetons d’actualisation sans expiration ou qui n’ont pas été échangés ne contiendront pas la propriété event.refresh_token.last_exchanged_at.
• Pour des raisons de sécurité, les délais d’expiration absolus et d’inactivité ne peuvent pas être définis au-delà des paramètres de jeton d’actualisation de l’application définis dans les expirations des jetons d’actualisation. Si vous essayez de définir une date qui dépasse les paramètres d’expiration, les méthodes d’API mettront à jour la valeur jusqu’aux expirations des jetons d’actualisation et consigneront un événement d’avertissement (w) dans les journaux du tenant.
• api.refreshToken.setExpiresAt() et api.refreshToken.setIdleExpiresAt() ne peuvent que réduire leur durée de vie respective à partir des valeurs actuelles. Elles ne peuvent ni la prolonger ni l’augmenter.

​

Cas d’utilisation : Révoquer un jeton d’actualisation

​

Révoquer les jetons d’actualisation en raison d’ImpossibleTravel

exports.onExecutePostLogin = async (event, api) => {
  const { riskAssessment } = event.authentication ?? {};
  const ImpossibleTravel = riskAssessment?.assessments.ImpossibleTravel;

  // S'il s'agit d'un déplacement impossible et que c'est un échange de refresh token
  if (ImpossibleTravel?.code === "impossible_travel_from_last_login") {
    if (event.refresh_token) {
      api.refreshToken.revoke("Refresh token revoked due to impossible travel");
    }
  }
};

• Rejeter la transaction
• Révoquer le jeton d’actualisation
• Retourner une réponse d’erreur 403 access_denied
• Émettre l’erreur « Jeton d’actualisation révoqué en raison d’un déplacement impossible »

​

Révoquer des jetons d’actualisation en raison d’une liaison à l’adresse IP

exports.onExecutePostLogin = async (event, api) => {
  const refreshTokenInitialIp = event.refresh_token?.device?.initial_ip;
  const requestCurrentIp = event.request.ip;

  // s'il existe un jeton d'actualisation et que l'IP change
  if (
    refreshTokenInitialIp &&
    requestCurrentIp &&
    refreshTokenInitialIp != requestCurrentIp
  ) {
    api.refreshToken.revoke("Invalid IP change");
  }
};

• Rejeter la transaction
• Révoquer le jeton d’actualisation
• Retourner une réponse d’erreur 403 access_denied
• Émettre l’erreur « Invalid IP change »

​

Cas d’utilisation : Personnaliser les dates d’expiration des jetons d’actualisation

​

Personnaliser la date d’expiration absolue du jeton d’actualisation en fonction de l’organisation

exports.onExecutePostLogin = async (event, api) => {
  // Métadonnées du délai d'expiration du jeton d'actualisation (en millisecondes) configurées dans les organisations
  const organization_refresh_token_lifetime =
    event.organization?.metadata?.refresh_token_timeout;

  if (organization_refresh_token_lifetime) {
    // Le jeton d'actualisation existe déjà
    if (event.refresh_token) {
      const created = Date.parse(event.refresh_token.created_at);

      const new_expiration_time =
        created + Number(organization_refresh_token_lifetime);
      api.refreshToken.setExpiresAt(new_expiration_time);
    } else {
      // Le jeton d'actualisation n'existe pas encore (p. ex., le jeton est en cours d'émission)
      const current_time = new Date().getTime();

      const new_expiration_time =
        current_time + Number(organization_refresh_token_lifetime);
      api.refreshToken.setExpiresAt(new_expiration_time);
    }
  }
};

• Jetons nouvellement émis : current_time plus organization_refresh_token_lifetime
• Jetons existants : event.refresh_token.created_at plus organization_refresh_token_lifetime

​

Personnaliser le délai d’inactivité du jeton d’actualisation selon le rôle d’appartenance

exports.onExecutePostLogin = async (event, api) => {
  // les administrateurs sont configurés avec un délai d'inactivité plus court pour les jetons d’actualisation, dans les métadonnées de l'application
  const max_idle_lifetime =
    event.client.metadata?.admin_refresh_token_idle_timeout;

  // Vérifier l'attribut roles des métadonnées d'application de l'utilisateur pour déterminer s'il s'agit d'un administrateur.
  const isAdmin = event.user?.app_metadata?.roles?.find(
    (role) => role === "admin",
  );

  // Si l'application a un délai d'inactivité spécifique défini, définir le délai d'expiration
  if (max_idle_lifetime && isAdmin) {
    const current_time = new Date().getTime();

    api.refreshToken.setIdleExpiresAt(current_time + Number(max_idle_lifetime));
  }
};