Profils d’application

Découvrez comment utiliser les profils d’application pour appliquer une politique de configuration d’environnement d’exécution uniforme aux applications CIMD enregistrées dynamiquement dans Auth0.

Les profils d’application vous permettent de définir une politique de configuration d’environnement d’exécution qui s’applique automatiquement à un groupe d’applications de votre locataire. Vous pouvez ainsi définir des paramètres d’application uniformes, comme la durée de vie des jetons d’actualisation et le comportement des Organization, sans avoir à configurer chaque application individuellement.

La version en accès anticipé (EA) des profils d’application cible les applications Client ID Metadata Document (CIMD) créées dynamiquement. Plutôt que d’être créées manuellement dans l’Auth0 Dashboard ou au moyen de la Management API, les applications CIMD dynamiques s’enregistrent elles-mêmes lors de l’exécution en pointant vers une URL de métadonnées. Les normes CIMD comprennent un ensemble défini de paramètres, régissant le comportement du client OAuth 2.0, qui peuvent être précisés dans les métadonnées. Toutefois, elles n’incluent pas les paramètres propres à Auth0, de sorte que toutes les applications CIMD utiliseraient les mêmes valeurs par défaut. Les profils d’application complètent les métadonnées en fournissant des valeurs pour ces paramètres propres à Auth0.

La version EA des profils d’application prend uniquement en charge les applications CIMD enregistrées dynamiquement; les clients enregistrés dynamiquement et les applications CIMD enregistrées manuellement ne sont pas pris en charge. Pour en savoir plus, consultez la section Limites.

​

Cas d’utilisation

Voici quelques cas d’utilisation courants des profils d’application :

• Applications CIMD dynamiques : applications qui s’enregistrent elles-mêmes au moment de l’exécution en pointant vers une URL de métadonnées. Elles ne passent donc pas par l’étape de création manuelle durant laquelle les administrateurs de locataire configurent habituellement les paramètres de l’application.
• Gestion de parc : une seule configuration régit un grand nombre d’applications.

​

Fonctionnement

Les profils d’application sont définis par l’administrateur de locataire, qui fournit des valeurs par défaut pour les clients régis par ce profil. Auth0 évalue les profils d’application au moment de l’exécution, lors de chaque requête d’authentification, et non au moment de la création d’une application. Ainsi :

• Un profil s’applique rétroactivement à toutes les applications correspondantes, y compris celles qui ont été enregistrées avant sa création.
• Si vous mettez à jour ou supprimez un profil, la modification prend effet à la prochaine requête d’authentification, dans le délai de propagation du cache de 5 minutes, sans qu’il soit nécessaire de mettre à jour chaque application individuellement.
• Les paramètres des profils d’application ne sont jamais écrits dans l’enregistrement de l’application. Ils sont fusionnés dans une configuration en mémoire au moment de la requête d’authentification.

Auth0 met en cache la configuration des profils d’application pendant au plus 5 minutes. Après avoir créé, mis à jour ou supprimé un profil, prévoyez jusqu’à 5 minutes pour que la modification s’applique à toutes les requêtes d’authentification.

​

Ce qu’un profil peut cibler

Un profil d’application ne peut cibler que les applications CIMD enregistrées dynamiquement (external_metadata_type: cimd, créées par le client lui-même plutôt que par un administrateur du locataire). Les applications créées manuellement, y compris une application CIMD configurée manuellement, ne sont jamais ciblées par un profil. Si vous créez une application vous-même, vous avez déjà un contrôle direct et explicite sur chacun de ses paramètres, et aucun profil ne vient se superposer à cette configuration.

​

Un seul profil par locataire

Un locataire ne peut avoir qu’un seul profil d’application. La prise en charge de plusieurs profils, avec résolution des conflits selon la priorité, est prévue dans une version ultérieure.

​

Paramètres client pris en charge

Les profils d’application prennent en charge les paramètres client suivants :

​

Jetons

Dans l’accès anticipé (EA) des profils d’application, vous ne pouvez pas configurer le comportement de rotation des jetons d’actualisation (rotation_type) au moyen d’un profil d’application. Ce comportement est déterminé automatiquement en fonction de la méthode d’authentification de chaque application : les applications publiques effectuent la rotation des jetons d’actualisation par défaut, mais pas les applications confidentielles.

Paramètre	Description
Période de chevauchement de rotation	Durée, en secondes, pendant laquelle le dernier jeton d’actualisation utilisé peut être réutilisé sans déclencher la détection de violation. S’applique uniquement aux applications dynamiques (CIMD) publiques, qui utilisent la rotation des jetons d’actualisation; les applications dynamiques (CIMD) confidentielles n’effectuent pas de rotation. Pour en savoir plus, consultez Configurer la rotation des jetons d’actualisation.
Définir la durée de vie d’inactivité du jeton d’actualisation	Pour l’activer, réglez ce paramètre sur Expiring. Toujours réglé sur Expiring dans Auth0 Dashboard.
Durée de vie d’inactivité du jeton d’actualisation	Durée, en secondes, pendant laquelle un jeton d’actualisation peut demeurer inutilisé; une fois ce délai écoulé, le jeton d’actualisation expire et ne peut plus servir à obtenir un nouveau jeton d’accès. Pour en savoir plus, consultez Configurer l’expiration des jetons d’actualisation.
Définir la durée de vie maximale du jeton d’actualisation	Pour l’activer, réglez ce paramètre sur Expiring. Toujours réglé sur Expiring dans Auth0 Dashboard.
Durée de vie maximale du jeton d’actualisation	Durée maximale, en secondes, pendant laquelle un jeton d’actualisation peut demeurer valide; si le jeton d’actualisation n’est pas échangé dans l’intervalle indiqué, il expire et ne peut plus servir à obtenir un nouveau jeton d’accès. La durée de vie maximale du jeton d’actualisation doit toujours être supérieure à la durée de vie d’inactivité du jeton d’actualisation. Pour en savoir plus, consultez Configurer l’expiration des jetons d’actualisation.
Exiger la liaison à l’émetteur	Réglez ce paramètre sur Not Required ou Required. Pour en savoir plus, consultez Liaison à l’émetteur.

Vous devez définir à la fois la durée de vie d’inactivité et la durée de vie maximale du jeton d’actualisation; il est impossible de remplacer un seul élément d’une paire dépendante, car cela pourrait produire une combinaison invalide une fois fusionnée avec la valeur propre à l’application ou avec la valeur par défaut de la plateforme.

​

Expérience de connexion

Paramètre	Description
Types d’utilisateurs	Définissez le type d’utilisateurs qui se connecteront à cette application. Choisissez Particuliers, Utilisateurs professionnels ou Les deux. Pour en savoir plus, consultez Configurer l’expérience de connexion de votre application.
Invite de lancement de la connexion	Définissez la façon dont le flux de connexion est lancé pour les utilisateurs de cette application. Choisissez Demander les identifiants, Demander l’organisation ou Aucune invite. Pour en savoir plus, consultez Configurer le flux de connexion de votre application.

​

Gérer les profils d’application

Gérez les profils d’application à l’aide d’Auth0 Dashboard ou de Management API.

Auth0 Dashboard

Pour créer un profil d’application dans Auth0 Dashboard :

1. Accédez à Applications > Application Profiles.
2. Activez Application Profile.
3. Dans l’onglet Settings, saisissez le nom du profil d’application (obligatoire) et ajoutez une description.
4. Dans la section Tokens, configurez les paramètres du client liés aux jetons de renouvellement.
5. Dans l’onglet Login Experience, configurez le comportement des clients à l’égard des Organisations.

Pour supprimer le profil d’application, désactivez-le.

Management API

Gérez les profils d’application au moyen de la Management API. Toutes les opérations nécessitent un jeton d’accès doté de la permission appropriée.

Permission	Grants
read:client_profiles	Récupérer des profils ou en afficher la liste
create:client_profiles	Créer un profil
update:client_profiles	Mettre à jour un profil
delete:client_profiles	Supprimer un profil

​

Créer un profil d’application

Pour créer un profil d’application, envoyez une requête POST au terminal /api/v2/client-profiles :

Auth0 CLI

Vous utilisez Auth0 CLI? Si ce n’est pas déjà fait, configurez et authentifiez votre session CLI avant d’exécuter cette commande.

auth0 api post "client-profiles" \
  --data '{
    "name": "Dynamic Third-Party Applications",
    "description": "Default runtime policy for dynamically registered third-party clients",
    "apply_policy": {
      "external_metadata_type": "cimd",
      "external_metadata_created_by": "client"
    },
    "client_configuration": {
      "refresh_token": {
        "token_lifetime": { "default_value": 2592000 },
        "idle_token_lifetime": { "default_value": 1296000 },
        "leeway": { "default_value": 0 }
      },
      "organization_usage": { "default_value": "deny" },
      "organization_require_behavior": { "default_value": "no_prompt" },
      "organization_discovery_methods": { "default_value": ["email", "organization_name"] },
      "require_proof_of_possession": { "default_value": false }
    }
  }'

cURL

curl --request POST \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/client-profiles' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "name": "Dynamic Third-Party Applications",
    "description": "Default runtime policy for dynamically registered third-party clients",
    "apply_policy": {
      "external_metadata_type": "cimd",
      "external_metadata_created_by": "client"
    },
    "client_configuration": {
      "refresh_token": {
        "token_lifetime": { "default_value": 2592000 },
        "idle_token_lifetime": { "default_value": 1296000 },
        "leeway": { "default_value": 0 }
      },
      "organization_usage": { "default_value": "deny" },
      "organization_require_behavior": { "default_value": "no_prompt" },
      "organization_discovery_methods": { "default_value": ["email", "organization_name"] },
      "require_proof_of_possession": { "default_value": false }
    }
  }'

Les paramètres name et client_configuration sont obligatoires. Le paramètre apply_policy l’est également, bien qu’il n’accepte pour l’instant qu’une seule valeur :

{ "external_metadata_type": "cimd", "external_metadata_created_by": "client" }

Si la requête réussit, elle renvoie 201 Created avec l’objet de profil complet, ainsi qu’un en-tête Location qui pointe vers la nouvelle ressource.

​

Récupérer un profil d’application

Pour récupérer un profil d’application, envoyez une requête GET au terminal /api/v2/client-profiles/{clientId} :

Auth0 CLI

auth0 api get "client-profiles/YOUR_PROFILE_ID"

cURL

curl --request GET \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/client-profiles/YOUR_PROFILE_ID' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN'

Renvoie 200 OK avec l’objet profil, ou 404 Not Found si aucun profil ne correspond à cet ID.

​

Lister les profils d’application

Pour obtenir la liste de tous les profils d’application, effectuez une requête GET au terminal /api/v2/client-profiles :

Auth0 CLI

auth0 api get "client-profiles"

cURL

curl --request GET \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/client-profiles' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN'

En cas de réussite, Auth0 renvoie un tableau d’objets de profil client :

{
  "client_profiles": [
    {
      "id": "cpr_7Yw3kBnP4mQ8vX",
      "name": "Dynamic Third-Party Applications",
      "apply_policy": { "external_metadata_type": "cimd", "external_metadata_created_by": "client" },
      "client_configuration": { "..." },
      "created_at": "2026-01-15T10:30:00.000Z",
      "updated_at": "2026-05-11T14:22:00.000Z"
    }
  ],
  "next": "eyJpZCI6ImNwcl83..."
}

Ce terminal prend en charge la pagination par point de reprise.

​

Mettre à jour un profil d’application

Pour mettre à jour un profil d’application, envoyez une requête PATCH au terminal /api/v2/client-profiles/{clientId} :

Auth0 CLI

auth0 api patch "client-profiles/YOUR_PROFILE_ID" \
  --data '{
    "client_configuration": {
      "refresh_token": {
        "token_lifetime": { "default_value": 2592000 },
        "idle_token_lifetime": { "default_value": 604800 },
        "leeway": { "default_value": 30 }
      },
      "organization_usage": { "default_value": "allow" }
    }
  }'

cURL

curl --request PATCH \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/client-profiles/YOUR_PROFILE_ID' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN' \
  --header 'Content-Type: application/json' \
  --data '{
    "client_configuration": {
      "refresh_token": {
        "token_lifetime": { "default_value": 2592000 },
        "idle_token_lifetime": { "default_value": 604800 },
        "leeway": { "default_value": 30 }
      },
      "organization_usage": { "default_value": "allow" }
    }
  }'

PATCH accepte une mise à jour partielle au premier niveau; vous n’avez qu’à inclure les champs que vous modifiez (name, description, client_configuration, apply_policy).

Les paramètres client_configuration et apply_policy doivent être soumis en entier lorsqu’ils sont inclus dans une requête PATCH. Les mises à jour partielles des champs imbriqués dans ces objets ne sont pas prises en charge. Tout sous-champ omis de l’objet est considéré comme non défini dans le profil (c’est alors la configuration propre à l’application gouvernée qui s’applique), et non comme inchangé par rapport à la version précédente.

Une mise à jour réussie renvoie 200 OK avec l’objet de profil complet et à jour. Les modifications entrent en vigueur dans un délai de 5 minutes, soit la durée de propagation du cache.

​

Supprimer un profil d’application

Pour supprimer un profil d’application, envoyez une requête DELETE au terminal /api/v2/client-profiles/{clientId} :

Auth0 CLI

auth0 api delete "client-profiles/YOUR_PROFILE_ID"

cURL

curl --request DELETE \
  --url 'https://YOUR_AUTH0_DOMAIN/api/v2/client-profiles/YOUR_PROFILE_ID' \
  --header 'Authorization: Bearer YOUR_MANAGEMENT_API_TOKEN'

Renvoie 204 No Content, qu’un profil portant cet ID ait existé ou non. La suppression d’un profil met immédiatement fin à son contrôle sur toutes les applications qui y correspondaient : ces applications reprennent leurs propres paramètres configurés individuellement (ou les valeurs par défaut de la plateforme) lors de leur prochaine requête d’authentification.

​

Limitations

Il s’agit d’une version en accès anticipé. Les limitations suivantes s’appliquent et devraient être levées dans de prochaines versions :

• Un seul profil d’application est autorisé par locataire.
• Les profils d’application s’appliquent uniquement aux applications CIMD enregistrées dynamiquement. Les applications créées manuellement, y compris les applications CIMD configurées manuellement, ne sont jamais concernées.
• Les applications Dynamic Client Registration (DCR) ne sont pas prises en charge par les profils d’application dans cette version.
• Il est impossible d’afficher la liste des applications actuellement régies par un profil donné.
• Il est impossible d’exempter (exclure) une application précise d’un profil d’application qui s’y appliquerait autrement.
• Les paramètres du jeton d’actualisation appliqués par un profil ne font aucune distinction entre les applications publiques et confidentielles; les mêmes valeurs s’appliquent à toutes les applications régies, peu importe la méthode d’authentification.

​

En savoir plus

• Aperçu de CIMD
• Enregistrer des applications avec CIMD
• Dynamic Client Registration