> ## Documentation Index
> Fetch the complete documentation index at: https://docs-dev-actions-triggers-prototype.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# Flux hybride

> Découvrez comment le flux hybride fonctionne pour fournir un accès optimal au jeton d’ID tout en tirant parti du flux de code d’autorisation pour récupérer en toute sécurité les jetons d’accès et d’actualisation.

Les applications capables de stocker en toute sécurité les [identifiants client](/docs/fr-ca/secure/application-credentials) peuvent bénéficier de l’utilisation du flux hybride (défini dans la spécification [OpenID Connect, section 3.3](https://openid.net/specs/openid-connect-core-1_0.html#HybridFlowAuth)). Le flux hybride permet à votre application d’avoir un accès immédiat à un jeton d’ID tout en garantissant une récupération en toute sécurité des jetons d’accès et des jetons d’actualisation. Cela peut s’avérer utile lorsque votre application doit accéder immédiatement à des informations sur l’utilisateur, mais doit effectuer un traitement avant d’accéder à des ressources protégées pendant une période prolongée.

## Fonctionnement

Le flux hybride combine des étapes du [Flux implicite avec Form Post](/docs/fr-ca/get-started/authentication-and-authorization-flow/implicit-flow-with-form-post) et le [flux de code d’autorisation](/docs/fr-ca/get-started/authentication-and-authorization-flow/authorization-code-flow) :

1. L’utilisateur sélectionne **Connexion** dans l’application.
2. L’application redirige l’utilisateur vers le serveur d’autorisation Auth0 ([`point de terminaison`](https://auth0.com/docs/api/authentication#authorization-code-flow)[/authorize](https://auth0.com/docs/api/authentication#authorization-code-flow)), en transmettant le paramètre `response_type` indiquant le type d’identifiants demandé (Jeton d’ID et code d’autorisation), ainsi que le paramètre `response_mode` de type `form_post` pour assurer la sécurité.
3. Le serveur d’autorisations Auth0 redirige l’utilisateur vers l’invite de connexion et d’autorisation.
4. L’utilisateur s’authentifie en choisissant l’une des options de connexion configurées et peut voir apparaître une invite de consentement énumérant les autorisations qu’Auth0 accordera à l’application.
5. Le serveur d’autorisation Auth0 redirige l’utilisateur vers l’application avec un code d’autorisation à usage unique, et un jeton d’ID, un jeton d’accès, ou les deux, en fonction du `response_type`(type de réponse) fourni.
6. L’application envoie le code d’autorisation, l’ID client de l’application et les identifiants de l’application, comme le secret client ou la clé privée JWT, au serveur d’autorisations Auth0 ([point de terminaison `/oauth/token`](/docs/fr-ca/api/authentication?http#authorization-code-flow43)).
7. Le serveur d’autorisations Auth0 vérifie le code d’autorisation, l’ID client de l’application et les identifiants de l’application.
8. Le serveur d’autorisations Auth0 répond avec un deuxième jeton d’ID et un jeton d’accès (et éventuellement un jeton d’actualisation).
9. L’application peut utiliser le deuxième jeton d’accès pour appeler une API afin d’accéder aux informations relatives à l’utilisateur.
10. L’API répond avec les données demandées.

<Callout icon="file-lines" color="#0EA5E9" iconType="regular">
  Si votre application ne doit utiliser Flux hybride que pour l’ouverture de sessions, vous n’aurez pas besoin d’un jeton d’actualisation ni d’un jeton d’accès, mais seulement d’un jeton d’ID contenant des demandes.
</Callout>

## Comment la mettre en œuvre?

Vous pouvez suivre notre tutoriel sur l’utilisation de l’Authentication API afin [d’appeler votre API en utilisant le flux hybride](/docs/fr-ca/get-started/authentication-and-authorization-flow/hybrid-flow/call-api-hybrid-flow).

## En savoir plus

* [Règles d'Auth0](/docs/fr-ca/customize/rules)
* [Hooks Auth0](/docs/fr-ca/customize/hooks)
* [Jetons](/docs/fr-ca/secure/tokens)
* [Meilleures pratiques concernant les jetons](/docs/fr-ca/secure/tokens/token-best-practices)
* [Quel flux OAuth 2.0 dois-je utiliser?](/docs/fr-ca/get-started/authentication-and-authorization-flow/which-oauth-2-0-flow-should-i-use)
* [Authentifiants d’application](/docs/fr-ca/secure/application-credentials)