Rediriger les utilisateurs avec une déconnexion alternative

Vous pouvez rediriger les utilisateurs vers une URL spécifique après leur déconnexion. Vous devrez enregistrer l’URL de redirection dans les paramètres de votre locataire ou de votre application. Auth0 redirige uniquement vers les URL présentes dans la liste d’URL autorisées après la déconnexion. Si vous avez besoin de redirections différentes pour chaque application, vous pouvez ajouter les URL à la liste d’URL autorisées dans les paramètres de votre application.

1. Ajoutez un paramètre de chaîne de requête returnTo avec l’URL cible comme valeur. Codez l’URL cible transmise. Par exemple, pour rediriger l’utilisateur vers https://www.example.com après la déconnexion, faites la demande suivante : https://{yourDomain}/v2/logout?returnTo=https%3A%2F%2Fwww.example.com.

2. Ajoutez l’URL returnTo non codée (par exemple, https://www.example.com) dans la liste des URL de déconnexion autorisées à l’un des deux endroits suivants :

   • Paramètres du locataire : Pour les demandes de déconnexion qui n’incluent pas le paramètre client_id, vous devez ajouter l’URL returnTo à la liste URL de déconnexion autorisées dans l’onglet Avancé de vos Paramètres de locataire.

     Pour ajouter une liste d’URL vers lesquelles l’utilisateur peut être redirigé après s’être déconnecté au niveau du locataire, allez à Paramètres du locataire > Avancé de Auth0 Dashboard.

     

   • Paramètres de l’application Auth0 : Pour les demandes de déconnexion qui incluent le paramètre client_id, vous devez ajouter l’URL returnTo à la liste URL de déconnexion autorisées dans l’onglet Paramètres de la ou des application(s) Auth0 associée(s).

     

Lorsque vous fournissez la liste des URL, vous pouvez :

1. spécifier plusieurs URL valides, séparés par des virgules.

2. Utilisez * comme caractère générique pour les sous-domaines (par exemple, http://*.example.com).

Si le paramètre client_id est inclus et que le paramètre returnTo URL n’est pas défini, le serveur renvoie l’utilisateur aux premières URL de déconnexion autorisées définies dans le Dashboard.

Pour éviter les erreurs de validation, veillez à inclure la partie protocole de l’URL. Par exemple, si vous définissez la valeur *.example.com, vous obtiendrez une erreur de validation; vous devez donc plutôt utiliser http://*.example.com.

Plusieurs fournisseurs prennent en charge la déconnexion fédérée.

Pour rediriger les utilisateurs des applications utilisant la déconnexion fédérée, lancez la déconnexion fédérée avec le point de terminaison suivant :

https://{yourDomain}/v2/logout?federated

Il vous incombe de veiller à ce que votre application mette fin à la session de l’utilisateur avant de le rediriger.

Lorsque l’utilisateur atteint le point de terminaison /logout, Auth0 met fin à la session Auth0, redirige l’utilisateur vers le point de terminaison des fournisseurs d’identité et met fin à la session avec le fournisseur d’identité.

• La validation des URL fournies comme valeurs du paramètre returnTo, la chaîne de requête et les informations de hachage fournies dans le cadre de l’URL ne sont pas prises en compte.

• Le comportement des déconnexions fédérées varie d’un fournisseur d’identité sociale à un autre. Chaque fournisseur traitera le paramètre returnTo différemment et, pour certains, il ne fonctionnera pas. Veuillez vérifier les paramètres de votre fournisseur d’identité sociale pour vous assurer qu’il accepte le paramètre returnTo et comment il se comportera.

• Les URL fournies dans la liste URL de déconnexion autorisées sont sensibles à la casse, de sorte que l’URL utilisée pour les déconnexions doit correspondre à la casse de l’URL de déconnexion configurée sur le tableau de bord. Notez toutefois que les parties scheme et host ne sont pas sensibles à la casse. Par exemple, si votre URL est http://www.Example.Com/FooHoo.html, la partie http://www.Example.Com est insensible à la casse, tandis que la partie FooHoo.html est sensible à la casse.

Si vous travaillez avec des fournisseurs d’identité sociale tels que Google ou Facebook, vous devez définir votre Client ID et votre Secret pour ces fournisseurs dans le Dashboard pour que la déconnexion fonctionne correctement.

Utilisez le paramètre returnTo pour spécifier comment rediriger l’utilisateur après la déconnexion.

Tous les fournisseurs d’identité ne prennent pas en charge le paramètre returnTo.

Pour Facebook, l’exemple de code ci-dessous utilise le paramètre returnTo et spécifie un site Web pour la redirection.

https://{yourDomain}/v2/logout?federated&
      returnTo=https://{yourDomain}/logout?returnTo=http://www.example.com
      &access_token={facebookAccessToken}

• Déconnecter l’utilisateur de l’application
• Déconnexion des utilisateurs d’Auth0 avec le point de terminaison OIDC
• Déconnecter des utilisateurs des fournisseurs d’identité
• Déconnecter des utilisateurs des fournisseurs d’identité SAML
• Vérifier les problèmes de connexion et de déconnexion