Dépannage

Erreurs SAML et OpenID Connect : cause et solution

Retrouvez votre message d'erreur : chaque page donne la cause probable et la correction.

SAML

• « Audience invalide » / « Audience restriction »
• « ACS URL incorrecte » / « Recipient » / « Destination »
• « Signature invalide » / « digest mismatch »
• « Certificat inconnu » / « signature ne correspond à aucun certificat »
• « Assertion expirée » / « pas encore valide » (NotBefore, NotOnOrAfter)
• « InResponseTo inattendu » / « réponse non sollicitée »
• « NameID absent » ou format inattendu
• Les attributs (nom, groupes…) sont vides
• Boucle de redirection infinie
• L'utilisateur est authentifié mais « accès refusé »
• « Assertion chiffrée » non lisible
• « Impossible de décoder SAMLRequest »
• « Statut : RequestDenied » / « AuthnFailed »

OpenID Connect, OAuth et Entra ID

• invalid_grant : le code ou le jeton de rafraîchissement est refusé
• redirect_uri_mismatch : l'adresse de retour est refusée
• invalid_client : l'application n'est pas authentifiée
• invalid_scope : le périmètre demandé est refusé
• PKCE : la vérification du code_verifier échoue
• state ou nonce ne correspond pas
• AADSTS50011 : l'adresse de réponse ne correspond pas (Entra ID)
• AADSTS700016 / AADSTS50020 : l'application ou le compte n'existe pas dans ce locataire (Entra ID)
• invalid_token : l'API rejette le jeton d'accès
• AADSTS65001 : le consentement est requis (Entra ID)
• AADSTS50105 : l'utilisateur n'est pas assigné à l'application (Entra ID)
• AADSTS7000215 : le secret client fourni n'est pas valide (Entra ID)

Okta, Keycloak, AD FS, Auth0, Cognito et Google

• Okta : l'utilisateur n'est pas assigné à l'application (access_denied)
• Okta : le redirect_uri n'est pas dans la liste autorisée
• Keycloak : « Invalid parameter: redirect_uri »
• Keycloak : « Invalid client credentials » ou « Client not found »
• AD FS : MSIS7042, la même session a fait trop de demandes de connexion
• AD FS : MSIS7065, aucun gestionnaire de protocole enregistré
• Auth0 : « Callback URL mismatch »
• Amazon Cognito : redirect_mismatch
• Google : « Erreur 400 : redirect_uri_mismatch »

Vous avez un message que cette liste ne couvre pas ? Collez-le dans le diagnostic.