> ## Documentation Index
> Fetch the complete documentation index at: https://docs-dev-feat-one-trust-integration.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.
# Configuration Auth0 (Applications serveur + API)
> Configuration Auth0 pour le scénario d’architecture serveur + API
Dans cette section, nous examinerons les configurations d’exampleCo à l’aide du[tableau de bord Auth0](https://manage.auth0.com/#).
## Configuration de l’API
Pour protéger une API, vous devez enregistrer une API en utilisant le tableau de bord Auth0 Suivez les instructions sur [enregistrement des API](/docs/fr-ca/get-started/auth0-overview/set-up-apis) pour configurer l’API des feuilles de temps.
### Profil de jeton Web JSON
OAuth 2.0 définit le type de profils, ou dialectes, pour un jeton d’accès. Auth0 prend en charge deux profils différents :
* Profil de jeton Auth0
* Profil RFC 9068
Le profil par défaut est le profil Auth0 La principale différence entre ces deux profils se trouve au niveau des noms des revendications Le profil Auth0 utilise `azp` plutôt que `client_id`. Vous pouvez en savoir plus sur les différences en lisant [Profils de jetons d'accès](/docs/fr-ca/secure/tokens/access-tokens/access-token-profiles).
### Algorithmes de signature
Lorsque vous créez une API, vous devez sélectionner l’algorithme avec lequel vos jetons seront signés. La signature est utilisée pour vérifier que l’expéditeur du jeton Web JSON (JWT) est bien celui qu’il prétend être et pour s’assurer que le message n’a pas été modifié en cours de route.
La signature fait partie d’un JWT. Si vous n’êtes pas familier avec la structure des JWT, veuillez consulter [Structure du jeton Web JSON](/docs/fr-ca/secure/tokens/json-web-tokens/json-web-token-structure).
Pour créer la signature, vous devez prendre l’en-tête encodé, la charge utile encodée, un secret, l’algorithme spécifié dans l’en-tête et signer le tout. Cet algorithme, qui fait partie de l’en-tête JWT, est celui que vous sélectionnez pour votre API : `HS256,``RS256,` ou `PS256`.
La pratique la plus sûre, et notre recommandation, est d’utiliser**RS256**. Voici quelques raisons :
* Avec RS256, vous êtes sûr que seul le détenteur de la clé privée (Auth0) peut signer les jetons, tandis que n’importe qui peut vérifier si le jeton est valide à l’aide de la clé publique.
* Dans un contexte lié à HS256, si la clé privée est compromise, vous allez devoir déployer à nouveau l’API avec le nouveau secret. Avec RS256, vous pouvez demander un jeton valide pour différentes audiences.
* Avec RS256, vous pouvez mettre en œuvre la rotation des clés sans avoir à redéployer l’API avec le nouveau secret.
## Configurer les permissions
Dans les paramètres de votre API, vous devez configurer les champs d’application que les applications peuvent demander pendant l’autorisation. Naviguez jusqu’à l’onglet Permissions.
Dans cette section, vous pouvez ajouter les quatre permissions mentionnées précédemment : `batch:upload`, `read:timesheets`, `create:timesheets`, `delete:timesheets`, et `approve:timesheets`. Ajoutez également un champ d’application supplémentaire : `batch:upload`.
Dans le cadre de ce document, nous ne nous intéresserons qu’à la permission `batch:upload` car c’est tout ce qui est requis par la tâche cron. Cependant, par souci d’exhaustivité, nous ajoutons les permissions nécessaires qui seront requises par les applications futures.
## Créer l’application
Lors de la création d’une API dans le tableau de bord Auth0, une application de test pour l’API sera automatiquement générée. Dans le tableau de bord Auth0, naviguez vers la [section Application](https://manage.auth0.com/#/applications),et vous verrez l’application de test pour l’API feuilles de temps.
Accédez aux paramètres de l’application en sélectionnant l’option de menu à la fin. Renommez l’application en `Tâche d’importation de feuilles de temps`.
Pour la tâche cron, vous aurez besoin d’une application de communication entre machines. L’application de test générée lors de la création de l’API a été automatiquement configurée comme une application machine-machine.
## Configurer l’accès de l’application à l’API
Enfin, vous devez autoriser l’application à accéder à l’API feuilles de temps. Revenez à la configuration de l’API et sélectionnez l’onglet Applications machine-machine.
Vous verrez l’application **Emploi d’importation de feuilles de temps** listée, et elle doit avoir accès à l’API, comme indiqué par le commutateur à droite du nom de l’application, qui indique une valeur de `Autorisé`. Si le commutateur n’indique pas que l’application est autorisée, il suffit de basculer la valeur du commutateur de `Non autorisé` à `Autorisé`.
Vous devez également spécifier quelles permissions seront incluses dans les jetons d’accès émis à l’application lorsque celle-ci s’autorise avec Auth0.
Développez les paramètres de l’application en cliquant sur la flèche indiquant le bas à l’extrême droite, et vous verrez la liste des permissions disponibles. La tâche cron nécessitera uniquement le champ d’application `batch:upload` car elle se contentera de créer de nouvelles feuilles de temps à partir des entrées de feuilles de temps dans le système externe.
Une fois que vous avez sélectionné la permission `batch:upload` , enregistrez les paramètres en cliquant sur le bouton **Mettre à jour** .
Maintenant que nous avons défini notre solution et discuté des configurations nécessaires du côté d’Auth0, nous pouvons passer à la mise en œuvre.