> ## Documentation Index
> Fetch the complete documentation index at: https://docs-dev-actions-triggers-prototype.mintlify.site/llms.txt
> Use this file to discover all available pages before exploring further.

# Cross-Origin認証

> Auth0のクロスオリジン認証とブラウザーとの互換性について説明します。

Auth0では、認証トランザクションを[ユニバーサルログイン](/docs/ja-jp/authenticate/login/auth0-universal-login)で処理することを強くお勧めします。 それがユーザーを認証する最も簡単で安全な方法だからです。詳細については、「[中央管理のユニバーサルログインと埋め込みログイン](/docs/ja-jp/authenticate/login/universal-vs-embedded-login)」をお読みください。認証フォームをアプリケーションに直接埋め込む必要がある状況は限られています。推奨されているわけではありませんが、クロスオリジン認証の場合はこれを行うことができます。

## クロスオリジン認証とは

アプリケーションから（Lockウィジェットまたはカスタムログインフォーム経由で）Auth0に対して認証要求が行われると、ユーザーの資格情報はアプリケーションにサービスを提供するドメインとは異なるドメインに送信されます。1つのオリジンから提供されるアプリケーションでユーザー資格情報を収集し、それを別のオリジンに送信すると、フィッシング攻撃の可能性など、特定のセキュリティ上の脆弱性が生じる可能性があります。

Auth0は、サードパーティCookieを使用するクロスオリジン認証フローを提供します。サードパーティCookieを使用すると、LockとAuth0のバックエンドが必要なチェックを実行して、異なるオリジン間で認証トランザクションを安全に行うことができます。これは、アプリケーションでLockウィジェットまたはカスタムログインフォームを使用してシングルサインオンエクスペリエンスを作成するときにフィッシングを防止するのに役立ちます。また、<Tooltip data-tooltip-id="react-containers-DefinitionTooltip-0" href="/docs/ja-jp/glossary?term=single-sign-on" tip="シングルサインオン（SSO）: ユーザーが1つのアプリケーションにログインした後、そのユーザーを他のアプリケーションに自動的にログインさせるサービス。" cta="用語集の表示">SSO</Tooltip>が目的でない場合でも、安全なログインエクスペリエンスを作成するのに役立ちます。

クロスオリジン認証は推奨されていません。ユーザー名とパスワードを使用してディレクトリに対する認証を行う場合にのみ必要です。ソーシャル<Tooltip data-tooltip-id="react-containers-DefinitionTooltip-2" href="/docs/ja-jp/glossary?term=idp" tip="IDプロバイダー（IdP）: デジタルIDを保存および管理するサービス。" cta="用語集の表示">IdP</Tooltip>やエンタープライズフェデレーションは異なるメカニズムを使用しており、OpenIDConnectや<Tooltip data-tooltip-id="react-containers-DefinitionTooltip-1" href="/docs/ja-jp/glossary?term=security-assertion-markup-language" tip="Security Assertion Markup Language（SAML）: パスワードなしに二者間で認証情報を交換できる標準化プロトコル。" cta="用語集の表示">SAML</Tooltip>などの標準プロトコルを介してリダイレクトします。さらに、クロスオリジン認証は、Web上の埋め込み型ログイン（Lockまたはauth0.jsを使用）にのみ適用されます。埋め込み型ログインを使用するネイティブアプリケーションは、標準の<Tooltip data-tooltip-id="react-containers-DefinitionTooltip-1" href="/docs/ja-jp/glossary?term=oath2" tip="OAuth 2.0: 認可プロトコルとワークフローを定義する認可フレームワーク。" cta="用語集の表示">OAuth 2.0</Tooltip>トークンエンドポイントを利用します。

## 制限事項

クロスオリジン認証はサードパーティCookieを使用して実現されるため、サードパーティCookieを無効にすると、クロスオリジン認証に失敗します。最新バージョンのFirefoxなど、一部のブラウザーではサードパーティCookieがデフォルトで無効になっているため、Firefoxのユーザーに対してはクロスオリジン認証が機能しません。Firefoxユーザーが埋め込み型ログインを機能させる唯一の方法は、以下で説明するようにカスタムドメインを使用することです。

この問題を修復するには、次の2通りの方法があります。

* テナントで[カスタムドメイン](/docs/ja-jp/customize/custom-domains)を有効にし、Auth0カスタムドメインと同じトップレベルのドメインを持つドメインでWebアプリケーションをホストします。たとえば、`https://northwind.com`でアプリケーションをホストし、Auth0カスタムドメインを`https://login.northwind.com`に設定します。これにより、これらのCookieはサードパーティのものではなくなり（Auth0テナントとアプリケーションの両方が同じトップレベルのドメインを使用しているため）、ブラウザーによって阻止されなくなります。
* サードパーティCookieが無効になっている場合でも、限られた数のブラウザーでクロスオリジン認証が機能するようなクロスオリジン認証ページを作成してリンクします。

## もっと詳しく

* [Cross-Originリソース共有を構成する](/docs/ja-jp/get-started/applications/set-up-cors)
* [中央集中型ユニバーサルログインと埋め込みログイン](/docs/ja-jp/authenticate/login/universal-vs-embedded-login)
* [Auth0のユニバーサルログイン](/docs/ja-jp/authenticate/login/auth0-universal-login)