Skip to main content
Auth0 recommande à toutes les applications natives qui utilisent le Flux de code d’autorisation de passer aux URI de rappel sur HTTPS à l’aide de Android App Links et des Apple Universal Links. Cela renforce la sécurité et réduit les risques d’usurpation d’application et d’attaques d’hameçonnage. Pour comprendre comment cela permet de prévenir ces attaques, consultez les Mesures contre l’usurpation d’application. Les tenants créés avant le 15 octobre 2025 conservent le comportement précédent par défaut jusqu’au 28 avril 2026. Après l’échéance d’octobre, les tenants nouvellement créés peuvent, par défaut, afficher la nouvelle invite de confirmation de connexion, avec quelques exceptions selon le calendrier de déploiement propre à chaque environnement. Les tenants qui choisissent explicitement de s’en exclure contourneront cette invite indéfiniment. Cela demeure vrai même après le 28 avril 2026, lorsque le service adoptera l’invite de confirmation comme comportement par défaut et supprimera la bascule de migration « Unconfirmed Login with Non-Verifiable Callback URI Redirects ».

​
Quelles sont les répercussions pour vous?

Pour les applications clientes qui précisent déjà ou prévoient préciser un schéma d’URI personnalisé ou une URI de rappel loopback, il se peut que les utilisateurs finaux doivent confirmer explicitement la connexion en répondant à la nouvelle invite de confirmation de connexion. Vos utilisateurs finaux pourraient percevoir ce changement comme une détérioration de l’expérience utilisateur. De plus, les requêtes d’authentification comprenant prompt=none seront rejetées lorsque les applications utilisent des URI de rappel non vérifiables et sont configurées pour utiliser la nouvelle invite de confirmation de connexion.

​
Tâches de migration

Auth0 recommande fortement de passer à des URI de rappel sur HTTPS en utilisant Android App Links et Apple Universal Links chaque fois que possible pour toutes les applications natives qui utilisent le flux de code d’autorisation. De plus, dans les tenants où le comportement par défaut changera après le 28 avril 2026, vous devriez sélectionner explicitement le comportement requis pour les requêtes d’authentification utilisant des schémas d’URI personnalisés ou des URI de rappel loopback avant le changement du comportement par défaut du système.

​
Vérifiez si vos applications utilisent des URI de rappel non vérifiables

Pour les tenants où la bascule de migration Unconfirmed Login with Non-Verifiable Callback URI Redirects est disponible et activée, les requêtes d’authentification qui précisent un schéma d’URI personnalisé ou une URI de rappel loopback généreront une entrée de journal du tenant avec un avis de dépréciation, à moins que vous n’ayez explicitement défini l’option suivante au niveau de l’application ou du tenant : skip_non_verifiable_callback_uri_confirmation_prompt Ces journaux du tenant contiennent l’identifiant client de l’application qui effectue la requête. Vous pouvez surveiller ces journaux du tenant dans l’Auth0 Dashboard à l’aide de la requête suivante :

​
Activer la nouvelle invite de confirmation de connexion

Pour activer à l’avance la nouvelle invite de confirmation de connexion et renforcer la sécurité des flux d’authentification qui utilisent des schémas d’URI personnalisés ou des URI de rappel loopback, suivez les étapes ci-dessous dans votre Auth0 Dashboard :
  1. Accédez à Auth0 Dashboard > Paramètres du tenant > Avancé.
  2. Dans la section Migrations, désactivez la bascule Unconfirmed Login with Non-Verifiable Callback URI Redirects.
Auth0 Dashboard > Paramètres du tenant > Avancé > bascule désactivée

​
Désactiver la nouvelle invite de confirmation de connexion

Si, après avoir évalué les considérations de sécurité, vous décidez de ne pas utiliser la nouvelle invite de confirmation de connexion, vous pouvez configurer des applications précises ou l’ensemble du tenant pour ne pas utiliser ce nouveau comportement. Vous pouvez le faire dans votre Auth0 Dashboard. Le paramètre au niveau de l’application a préséance sur le paramètre au niveau du tenant. Assurez-vous de configurer les paramètres propres à l’application avant de modifier le paramètre au niveau du tenant afin d’éviter des changements de comportement involontaires. Par exemple, vous pourriez vouloir ignorer la fonctionnalité Non-Verifiable Callback URI End-User Confirmation pour certaines applications précises tout en l’affichant, par défaut, pour d’autres applications, ou inversement. Pour désactiver cette fonctionnalité pour des applications précises :
  1. Accédez à Auth0 Dashboard > Applications > Paramètres > Paramètres avancés > OAuth.
  2. Repérez et désactivez la bascule Non-Verifiable Callback URI End-User Confirmation, puis sélectionnez Enregistrer. Vous devrez peut-être sélectionner l’option Override the tenant setting pour autoriser la gestion permanente de cette configuration.
Auth0 Dashboard > Applications > Paramètres > Avancé
Pour désactiver cette fonctionnalité pour l’ensemble du tenant :
  1. Accédez à Auth0 Dashboard > Paramètres du tenant > Avancé.
  2. Repérez et désactivez la bascule Non-Verifiable Callback URI End-User Confirmation dans la section Connexion et déconnexion, puis sélectionnez Enregistrer. Vous devrez peut-être sélectionner Turn on pour autoriser la gestion permanente de cette configuration.
Auth0 Dashboard > Paramètres du tenant > Avancé
Vous pouvez aussi configurer le comportement requis du tenant au moyen de l’Auth0 Management API. Plus précisément, vous pouvez effectuer la configuration à deux niveaux :
  • Configuration au niveau du tenant : Vous pouvez gérer le comportement de l’invite de confirmation en définissant la propriété skip_non_verifiable_callback_uri_confirmation_prompt au moyen du point de terminaison Update Tenant Settings.
  • Configuration au niveau de l’application : Pour remplacer le paramètre au niveau du tenant pour des applications précises, définissez la même propriété skip_non_verifiable_callback_uri_confirmation_prompt au moyen du point de terminaison Update Client.
Pour obtenir plus d’information et des conseils sur la configuration de vos applications, consultez Measures Against Application Impersonation.