Détection de robots

La détection de robots limite les attaques par script en détectant les requêtes susceptibles de provenir d’un robot. Ces types d’attaques sont parfois appelés « attaques par bourrage d’identifiants » (credential stuffing) ou encore « attaques par validation de liste » (list validation attack). La détection de robots permet de lutter contre certaines attaques et apporte très peu d’inconvénients aux utilisateurs légitimes. Auth Challenge est notre solution de détection des robots par défaut, qui permet une vérification de l’utilisateur sans CAPTCHA.

Pour en savoir plus, lisez Attaques par bourrage d’identifiants : de quoi s’agit-il et comment les combattre?

Auth0 utilise une grande quantité de données et de modèles statistiques pour identifier des modèles qui signalent quand des rafales de trafic de connexion, d’inscription ou de réinitialisation de mot de passe sont susceptibles de provenir d’un robot ou d’un script. Les utilisateurs qui tentent de se connecter, de créer des comptes ou de réinitialiser des mots de passe à partir d’adresses IP susceptibles de faire partie d’une attaque de type « bourrage d’identifiants » sont tenus d’effectuer une étape de vérification supplémentaire. Les déclencheurs détectent le trafic lié à ces attaques tout en évitant d’alourdir inutilement la tâche des utilisateurs légitimes.

Auth0 active par défaut la détection de robots à chaque connexion.

Si les paramètres de réponse ne sont pas configurés alors que la détection de robots est activée, celle-ci fonctionne en mode surveillance. En mode surveillance, les événements liés (avec des informations sur l’évaluation des risques) sont enregistrés dans votre journal de locataires pour que vous puissiez les consulter. Pour en savoir plus, lisez Voir les événements de journaux de la protection contre les attaques.

Vous pouvez activer les journaux de locataire pour l’évaluation des risques dans Auth0 Dashboard.

1. Allez dans Dashboard > Sécurité > Protection contre les attaques et sélectionnez Détection de robots.

2. Dans la section Détection, activez le bouton bascule.

   
   Si vous ne voyez pas le bouton d’activation des journaux de clients pour l’évaluation des risques, vous devrez peut-être mettre à niveau votre plan.

3. Dans la section Réponse, choisissez une réponse à la détection de robots.

   

   Si vous utilisez Auth Challenge, le bouton Fail open est désactivé par défaut.

   Auth Challenge est la réponse par défaut à la détection des robots, offrant une expérience web sans CAPTCHA avec une meilleure protection de la vie privée et une meilleure expérience utilisateur.

   Comme indiqué sur le Dashboard, cette expérience de connexion nécessite Javascript; si votre expérience de connexion doit fonctionner sans Javascript, sélectionnez Simple CAPTCHA.

4. Sélectionnez le moment où vous souhaitez exiger un CAPTCHA pour les flux de mots de passe, les flux sans mot de passe et les flux de réinitialisation de mot de passe.

   • Jamais : ne jamais demander à vos utilisateurs de remplir un CAPTCHA pour se connecter.

   • En cas de risque : ne demander à vos utilisateurs de remplir un CAPTCHA que si la connexion correspond au niveau de détection de robots que vous avez défini.

   • Toujours : exiger toujours de vos utilisateurs qu’ils remplissent un CAPTCHA pour se connecter.

5. Si vous choisissez En cas de risque ou Toujours, le champ Fournisseurs CAPTCHA s’affiche dans la section Réponse. Sélectionnez Auth Challenge (fourni par Auth0), Simple CAPTCHA (fourni par Auth0), ou l’une des intégrations de fournisseurs tiers prises en charge (nécessite une configuration et un enregistrement externes).

   • Si vous choisissez Auth Challenge ou Simple CAPTCHA, cela suffit. Si votre expérience de connexion ne prend pas en charge JavaScript, vous devez sélectionner Simple CAPTCHA.

   • Si vous choisissez l’une de nos intégrations de fournisseurs tiers, saisissez les détails de configuration du fournisseur. Pour en savoir plus, voir Configurer les intégrations de fournisseur CAPTCHA tierces.

6. Si vous choisissez En cas de risque, le champ Bot Niveau de détection de robots s’affiche dans la section Réponse. Sélectionnez le niveau de sécurité qui correspond le mieux à votre cas d’utilisation. Pour plus d’informations, voir Configurer le niveau de détection de robots.

7. Sélectionnez Enregistrer.

Configurez le niveau de détection de robots en fonction de votre tolérance au risque et des besoins de votre entreprise.

Choisissez parmi ces trois réglages :

1. Faible : déclenche le CAPTCHA lorsqu’il y a un risque élevé d’activité de robots, permettant ainsi aux utilisateurs réels de bénéficier d’une expérience relativement fluide.

2. Moyen : par défaut. Déclenche le CAPTCHA lorsqu’il y a un risque modéré d’activité de robots, ce qui permet d’équilibrer la sécurité et l’expérience des utilisateurs réels.

3. Élevé : déclenche le CAPTCHA lorsqu’il y a un faible risque d’activité de robots, offrant ainsi plus de sécurité mais potentiellement plus de frictions pour les utilisateurs réels.

Vous pouvez autoriser jusqu’à 100 adresses IP discrètes et/ou plages CIDR (IPv4 ou IPv6) à contourner la détection de robots en les ajoutant au champ Liste blanche d’adresses IP. Auth0 ne bloque pas et n’envoie pas d’alertes aux adresses IP ou aux plages CIDR figurant sur cette liste.

1. Allez dans Dashboard > Sécurité > Protection contre les attaques, et sélectionnez Détection de robots.

2. Dans le champ Liste blanche d’adresses IP, entrez les adresses IP et/ou les plages CIDR que vous souhaitez contourner pour la détection de robots. Séparez les adresses ou plages d’adresses multiples par des virgules.

Auth0 propose un modèle d’apprentissage automatique pour la détection d’inscription, différent du modèle de connexion, qui cible diverses formes d’attaques en examinant des signaux uniques.

Ce modèle permet au CAPTCHA de fonctionner différemment pour les inscriptions et les connexions, ce qui renforce la protection contre les attaques par inscription, tout en suivant les dernières tendances en matière de sécurité.

Vous pouvez configurer le modèle de détection utilisé par la détection de robots pour les flux d’inscription lors de l'utilisation d’une page de connexion personnalisée ou de l'expérience de connexion classique dans Auth0 Dashboard.

1. Allez dans Dashboard > Sécurité > Protection contre les attaques, et sélectionnez Détection de robots.

2. Localisez la section Detection Models (Modèles de détection).

3. Activez le bouton bascule pour les Signup detection models for custom and classic login pages (Modèles de détection de l’inscription pour les pages de connexion personnalisées et classiques).

La détection de robots fonctionne pour les applications Web et mobiles qui utilisent la Connexion universelle Auth0. Pour les applications qui n’utilisent pas la connexion universelle, les niveaux de prise en charge sont limités, notamment pour les flux qui ne prennent pas en charge un CAPTCHA ou un reCAPTCHA.

Assurez-vous que toutes vos expériences de connexion sont prises en charge avant d’activer la détection des robots, au risque d’introduire des erreurs dans votre application.

En fonction des types de connexion que vous utilisez, la détection des robots présente les limitations suivantes.

Si vous créez une page de connexion personnalisée en utilisant Auth0.js, vous pouvez activer la détection de robots pour rendre une étape CAPTCHA dans les scénarios où une demande de connexion est déterminée par Auth0 comme étant à haut risque.

Le code de votre formulaire de connexion personnalisé doit gérer les scénarios dans lesquels l’utilisateur est invité à passer une étape CAPTCHA. Pour en savoir plus, consultez Ajouter la détection de robots aux pages de connexion personnalisées.

Si vous créez des applications natives utilisant une trousse SDK Auth0 pour le flux de connexion, vous pouvez activer la détection de robots pour rendre une étape CAPTCHA dans les scénarios où une demande de connexion est déterminée par Auth0 comme étant à haut risque.

Le code de votre formulaire de connexion personnalisé doit gérer les scénarios dans lesquels l’utilisateur est invité à passer une étape CAPTCHA. Pour en savoir plus, consultez Ajouter la détection de robots aux applications natives.

• Configuration des intégrations de fournisseurs CAPTCHA tierces
• Ajouter la détection de robots aux pages de connexion personnalisées
• Ajouter la détection des robots aux applications natives
• Détection de violation de mot de passe
• Protection contre les attaques exhaustives
• Filtrage des adresses IP suspectes