リフレッシュトークン

Documentation Index

Fetch the complete documentation index at: https://auth0.generaltranslation.app/llms.txt

Use this file to discover all available pages before exploring further.

Auth0は、認証要求に応えてアクセストークンまたはIDトークンを発行します。アクセストークンを使うと、セキュアなAPIへの認証済み呼び出しができます。IDトークンには、ユーザープロファイル属性がクレーム形式で含まれています。両方ともJSON Web Token（JWT）なので、expクレームを使用して有効期限が示され、署名などのセキュリティ対策が講じられています。通常は、ユーザーがリソースに初めてアクセスするか、または前に付与されたアクセストークンの期限が切れた場合に、新しいアクセストークンが必要になります。 OAuthのリフレッシュトークンは資格情報アーティファクトであり、OAuthは、これを使うことでユーザーによる介入なしに新しいアクセストークンを取得することができます。その結果、認可サーバーはセキュリティの強化を目的にアクセストークンの有効期間を短くでき、アクセストークンの期限が切れてもユーザーの操作を必要としません。リフレッシュトークンがDenyList（拒否リスト）に載るまでは、新しいアクセストークンを要求できます。 資格情報を安全・確実に管理するために、リフレッシュトークンの数を妥当に管理できる範囲内に抑えることが大切です。リフレッシュトークンによってユーザーをほぼ永続的に認証済みの状態で維持できるため、アプリケーションはリフレッシュトークンを安全に保管しなければなりません。 セキュリティはリフレッシュトークンのローテーションを利用して強化できます。この機能は、Auth0に新しいアクセストークンが要求されると、新しいリフレッシュトークンを発行し、同時に前のトークンを無効にします。リフレッシュトークンをローテーションすることで、リフレッシュトークンの不正使用のリスクを減らします。 Auth0では、有効なリフレッシュトークンの数をユーザーあたり・アプリケーションあたり200に制限しています。この制限は有効なトークンのみに適用されます。制限数に達した状態で新しいトークンが作成されると、システムは、該当するユーザーとアプリケーションを対象として、最も古いトークンを取り消し、削除します。取り消されたトークンや期限の切れたトークンは、制限数にカウントされません。トークンの過度な使用を防ぐための推奨事項やベストプラクティスについては、「トークンのベストプラクティス」をお読みください。 リフレッシュトークンの動作は、OIDC標準に準拠したアプリケーションに適用されます。アプリケーションは、以下のいずれかの方法でOIDC標準に準拠させることができます。

1. アプリの ［OIDC Conformant（OIDC準拠）］ フラグを有効にする
2. audienceクレームをAuthentication APIの/authorizeエンドポイントに渡す

Auth0のSDKは、次のようなリフレッシュトークンをサポートしています。

• Node.js
• ASP.NET Core
• PHP
• Java

全リストは、Quickstartsをご覧ください。 シングルページアプリ（SPA）で安全な認証を提供する過程には、アプリケーションのユースケースによって数々の課題が伴います。Intelligent Tracking Prevention（ITP）を始めとするブラウザーの新しいプライバシー保護機能が、サードパーティーCookieへのアクセスを阻止するため、SPAでのユーザーエクスペリエンスに悪影響が及びます。 Auth0では、リフレッシュトークンローテーションの使用を推奨しています。リフレッシュトークンローテーションは、SPAでリフレッシュトークンを安全に使用するためのセキュリティ方式であり、リソースにアクセスするエンドユーザーに、ITPのようなブラウザーのプライバシー保護技術に煩わされないシームレスなユーザーエクスペリエンスを提供します。 ネイティブアプリケーションの場合は、リフレッシュトークンが認証エクスペリエンスを大幅に改善します。ユーザーは、Web認証を通じて1回だけ認証する必要があります。その後の再認証は、リフレッシュトークンを使い、ユーザーによる介入なしで行われます。 モバイルSDKでリフレッシュトークンを使用する方法の詳細は、以下を参照してください。

• Mobile/Native Quickstarts（モバイル/ネイティブクイックスタート）
• Lock Android: Refresh JWT Tokens（Lock Android：JWTトークンのリフレッシュ）
• Lock iOS: Save and Renew JWT Tokens（Lock iOS： JWTトークンの保存と更新）

• リフレッシュトークンの取得
• リフレッシュトークンの使用
• リフレッシュトークンの取り消し
• リフレッシュトークンのローテーション
• リフレッシュトークンの有効期限を構成する
• トークンのベストプラクティス