// docs / baas security / auth0 hardening

Auth0 segurtasun-zerrenda: 22 elementu

Auth0 zerbitzu gisa identitate plataforma bat da azalera izugarriarekin — aplikazioak, APIak (baliabide-zerbitzariak), maizterrak, ekintzak, arauak (zaharkitua), konexioak eta hornidurak. Horietako edozein gaizki konfiguratzea autentifikazio-saihespena da. Zerrenda hau aplikazio, callback / itxiera baimen-zerrenda, token eta freskatze-errotazio, ekintza pertsonalizatu, RBAC, anomalia-detekzio eta jarraian dagoen monitorizazioan zehar 22 elementuko auditoretza bat da. Elementu bakoitza Auth0 aginte-panelean 10 minutu baino gutxiagotan egiaztatu daiteke.

Clerk-en zerrenda baliokidea ikusteko, ikus Clerk segurtasun-zerrenda. Identitate-mailako konfigurazio okerrak IA-tresnen itsu-tartea zergatik diren ikusteko atzeko, ikus Zergatik IA kodetze-tresnek segurtasun-hutsuneak uzten dituzten.

Aplikazio-mota eta hornidura motak

Aplikazio-mota eta gaitutako hornidura motak Auth0-en eragin handieneko ezarpenak dira. Horiek oker jartzeak frontend-eko inolako koderik ez du itxiko eraso-klaseak irekitzen ditu.

Erabili Application Type = Single Page Application nabigatzaile-soileko aplikazioetarako eta Regular Web Application zerbitzarian errenderizatutakoetarako. Mota okerrak okerreko hornidura motak baimentzen ditu — adibidez, SPA horniduradun Regular Web App batek PKCE-gabeko Implicit fluxua gaitzen du, eta horrek URL zatikietan iragazten ditu tokenak.
Desgaitu Implicit hornidura mota aplikazio bakoitzean. Aginte-panela → Application → Advanced Settings → Grant Types → desmarkatu Implicit. Implicit fluxuak tokenak URL zatikietan itzultzen ditu, non nabigatzaile-historian eta analitikan erregistratzen diren. Erabili Authorization Code with PKCE.
Desgaitu Password hornidura dokumentatutako behar bat ez baduzu. Resource Owner Password Credentials (ROPC) horniturak erabiltzaile-pasahitzak zuk zeuk kudeatzea eskatzen du — Auth0 erosi zenuenaren gehiena baliogabetzen du. Desgaitu sistema zaharkitu batekin integratzen ez bada.
Gaitu Authorization Code with PKCE bezero publiko bakoitzean. Aginte-panela → Advanced Settings → OAuth → JsonWebToken Signature Algorithm = RS256, OIDC Conformant = gaituta. PKCE beharrezkoa da mugikorreko aplikazio eta SPA-etarako kode-intersepzioa saihesteko.

Callback eta itxiera URLen baimen-zerrendak

OAuth callback bidean dauden iragazpen irekiak token-lapurreta primitibo bat dira. Auth0-ko baimen-zerrenda zure defentsa bakarra da.

Ezarri Allowed Callback URLs zure ekoizpen callback bide zehatzera — komodinik gabe. https://zureapp.com/callback, ez https://zureapp.com/*. Komodineko callback-ek erasotzaileei aukera ematen die tokenak zure domeinuko azpibide arbitrarioetara birbideratzeko.
Ezarri Allowed Logout URLs finkoa den zerrenda batean. Arau bera: URL esplizituak soilik. Itxiera-iragazpen ireki batek erasotzaileei zure itxieraren ondorengo egoeraren itxura duten phishing orriak sortzen uzten die.
Ezarri Allowed Web Origins zure ekoizpen-jatorrira soilik. Autentifikazio isilerako erabiltzen da (token-berritzea ezkutuko iframe-aren bidez). Komodineko jatorri batek erasotzaileen orriei zure maizterraren aurka autentifikazio isila egiteko aukera ematen die.
Ezarri Allowed CORS origins API amaiera-puntuetarako, ez aplikaziorako. Tenant Settings → Advanced → Allowed CORS origins. Lehenetsia hutsik dago (mugatuta); gehitu zuk kontrolatzen dituzun jatorri esplizituak soilik.

Tokenak eta freskatze-errotazioa

Token bizitza, freskatze-errotazioa eta sinatzeko algoritmoak edozein token-iragazpenaren leherketa-erradioa erabakitzen dute.

Gaitu Refresh Token Rotation. Application → Refresh Token Settings → Rotation. Freskatze bakoitzak freskatze-token berri bat igortzen du eta zaharra baliogabetzen du. Iraungitze absolutuarekin konbinatuta, token-lapurreta mugatzen du.
Ezarri Refresh Token Reuse Interval 0-ra (edo zure errepikatze-tolerantziak baimentzen duen baxuena). Berrerabilera-tarteak token bat bi aldiz erabiltzeko aukera ematen du leiho berean — itzali ezazu mantentzeko arrazoi zehatzik ez baduzu.
Ezarri Absolute Refresh Token Expiry 14-30 egunera, ez infinitura. Application → Refresh Token Expiration → Absolute Expiration. Auth0-k Inactivity-soilik lehenesten du, eta horrek esan nahi du saio inaktibo batek urteetan irauteko aukera duela.
Ezarri JWT Signature Algorithm RS256-ra. Application → Advanced → OAuth → JsonWebToken Signature Algorithm. RS256-k asimetriko sinatzea erabiltzen du, beraz, bezeroak ezin du tokenik faltsifikatu. Inoiz ez erabili HS256 bezero-aldeko aplikazioetarako.
Egiaztatu aud eta iss erreklamazioak zure APIak jasotzen duen JWT bakoitzean. Erabili Auth0 SDK ofiziala zerbitzariaren aldetik — automatikoki egiaztatzen ditu hauek. Eskuz egindako JWT analisiak normalean audientzia-balioztatzea saltatzen du, eta hori autentifikazio-saihespena da.

Ekintzak eta kode pertsonalizatua

Auth0 ekintzak (eta arau zaharrak) zerbitzariaren aldean exekutatzen dira saio-hasieran eta beste bizitza-zikloko gertaeretan. Eskaeraren testuinguru osora dute sarbidea. Bertan dagoen kode ez segurua maizter osoko ahultasuna da.

Inoiz ez erregistratu event.user edo event.transaction objektu oso gisa. Hauek helbide elektronikoak, IP helbideak eta beste PII dituzte. Erabili eremu-mailako erregistroa soilik, eta erregistratu behar duzuna baino ez.
Erabili sekretuen biltegia edozein API gako edo webhook URLetarako. Actions → Edit → Secrets. Inoiz ez txertatu API gako bat kate literal gisa ekintzaren kodean — kodea Action editorerako sarbidea duen edonori ikusgai dago maizterrean.
Egiaztatu sarrerak user_metadata edo app_metadata gisa iraunkortu aurretik. Bere buruzko-zerbitzu ekintza batek event.body.name user.user_metadata.display_name-ra idazten duenak gordetako XSS bektorea da zure frontend-ak eremu hori ihes egin gabe errenderizatzen badu.

RBAC eta baliabide-zerbitzariak

Auth0 RBAC erabiltzen baduzu, rol-baimen mapaketa zure baimen-geruza da. Oker eginez gero, edozein autentikatutako erabiltzailek admin amaiera-puntuak jo ditzake.

Definitu Resource Servers (APIak) esplizituki Auth0 aginte-panelean, ez momentuan. API bakoitzak identifikatzaile bat du (audience), esparruak eta sinatzeko ezarpenak. Erregistratutako APIrik gabe, token guztiak inplizituki "Auth0 Management API"-rako igortzen dira — audientzia okerra.
Konfiguratu Permissions API bakoitzeko eta eskatu zure kodean scope erreklamazioarekin. Ez egiaztatu rol-kidetza zure aplikazio-logikan; egiaztatu esparruak sarbide-tokenean. Esparruak OAuth-en jatorrizko baimen-mekanismoak dira.
Proba beharrezko rol / esparrurik gabeko autentikatutako erabiltzaile batek ezin dituela amaiera-puntu pribilegiatuak jo. Eman izena erabiltzaile arrunt gisa, saiatu POST /api/admin/users/delete deitzen. Erantzunak 403 izan behar du.

Anomalia-detekzioa eta maizter-erregistroak

Auth0-k seinale altuko gertaerak igortzen ditu. Ezarri zure taldea alertatu dezaten, ez erregistro-buffer batean eseri daitezen baino.

Gaitu Attack Protection: Bot Detection, Brute Force, Suspicious IP Throttling. Aginte-panela → Security → Attack Protection. Bakoitza itzalita dago doako mailetan lehenetsi gisa; piztu denak ekoizpenerako.
Bidali maizter-erregistroak SIEM batera edo zure aplikazio-erregistroetara. Aginte-panela → Monitoring → Streams. Auth0-k erregistroak 30 egunez gordetzen ditu plan gehienetan; epe luzeko atxikitzeak zure sistemarako stream bat eskatzen du.
Alarmatu fcoa (cross-origin auth huts) eta fp (huts-saio hasiera) gorakadetan. Hauen leherketa leiho labur batean kredentzial-betetzea da. Bideratu zure on-call kanalera.

Hurrengo urratsak

Egin FixVibe eskaneatze bat zure ekoizpen-URLaren aurka — baas.clerk-auth0 egiaztapenak JavaScript-ean bundle-eko Auth0 bezero-sekretuak eta beste identitate-hornitzaileko agerpen-klaseak markatzen ditu. Clerk-en baliokidea ikusteko, ikus Clerk segurtasun-zerrenda. BaaS hornitzaileen ikuspegi orokorra ikusteko, irakurri BaaS konfigurazio okerren eskanerra.