Passwort-Richtlinie

Logto wendet die Passwort-Richtlinie auf unterschiedliche Weise an, je nachdem, wie das Passwort erstellt oder aktualisiert wird:

• Endbenutzer-Flows wie die sofort einsatzbereite Anmeldeerfahrung, die Experience API und die Account API erzwingen immer die aktuelle Passwort-Richtlinie.
• Administratoraktionen über die Management API patch /api/users/{userId}/password sind ausgenommen, sodass du Anmeldedaten bereitstellen oder zurücksetzen kannst, ohne dass die Richtlinie geprüft wird, wenn dies erforderlich ist.
• Um bestehende Passwörter anhand der aktuellen Regeln zu prüfen, rufe POST /api/sign-in-exp/default/check-password auf und reagiere auf das zurückgegebene Validierungsergebnis. Lies Passwort-Konformitätsprüfung, um mehr zu erfahren.

Passwort-Richtlinie einrichten

Für neue Benutzer oder Benutzer, die ihr Passwort aktualisieren, kannst du eine Passwort-Richtlinie festlegen, um Anforderungen an die Passwortstärke durchzusetzen. Besuche Konsole > Sicherheit > Passwort-Richtlinie, um die Einstellungen zur Passwort-Richtlinie zu konfigurieren.

1. Minimale Passwortlänge: Lege die Mindestanzahl an Zeichen für das Passwort fest. (NIST empfiehlt mindestens 8 Zeichen)
2. Minimale erforderliche Zeichentypen: Lege die Mindestanzahl an Zeichentypen fest, die das Passwort enthalten muss. Die verfügbaren Zeichentypen sind:
   1. Großbuchstaben: (A-Z)
   2. Kleinbuchstaben: (a-z)
   3. Zahlen: (0-9)
   4. Sonderzeichen: (!"#$%&'()\*+,-./:;<>=?@[]^\_`|{}~ )
3. Prüfung auf Datenpannen: Aktiviere diese Einstellung, um Passwörter abzulehnen, die bereits in Datenpannen offengelegt wurden. (Bereitgestellt von Have I Been Pwned)
4. Wiederholungsprüfung: Aktiviere diese Einstellung, um Passwörter abzulehnen, die wiederholende Zeichen enthalten. (z. B. "11111111" oder "password123")
5. Benutzerinformationsprüfung: Aktiviere diese Einstellung, um Passwörter abzulehnen, die Benutzerinformationen wie Benutzernamen, E-Mail-Adresse oder Telefonnummer enthalten.
6. Eigene Wörter: Gib eine Liste eigener Wörter (Groß- / Kleinschreibung wird ignoriert) an, die du im Passwort ablehnen möchtest.

Passwortablauf

Der Passwortablauf verlangt von Benutzern, ihr Passwort nach einer festgelegten Anzahl von Tagen zurückzusetzen. Du kannst das Passwort eines bestimmten Benutzers auch manuell ablaufen lassen, zum Beispiel, wenn du weißt, dass es kompromittiert wurde.

Die Richtlinie wird nur geprüft, nachdem der Benutzer das richtige Passwort bei der Passwort-Anmeldung eingegeben hat. Benutzer, die sich mit einem Verifizierungscode, Social Sign-In, SSO oder einem Passkey anmelden, sind nicht betroffen.

Passwortablauf aktivieren

Gehe zu Konsole > Sicherheit > Passwort-Richtlinie und finde die Passwortablauf-Karte:

1. Aktiviere Passwortablauf aktivieren.
2. Lege Passwortgültigkeitsdauer (Tage) fest, zwischen 1 und 9999 Tagen.
3. Speichere die Änderungen.

Der Schalter bleibt deaktiviert, bis die Anmeldeerfahrung mindestens eine Passwort vergessen-Methode (E-Mail oder Telefon) mit einem funktionierenden Connector hat, da Benutzer ein abgelaufenes Passwort nur über diesen Flow zurücksetzen können. Aus demselben Grund kannst du, solange die Richtlinie aktiviert ist, den letzten E-Mail- oder SMS-Connector, der Passwort vergessen unterstützt, nicht löschen. Wenn bei der Registrierung keine E-Mail-Adresse oder Telefonnummer erforderlich ist, haben manche Benutzer möglicherweise keine Möglichkeit, einen Rücksetzcode zu erhalten – erwäge daher, eine davon beim Sign-up abzufragen.

Logto zeichnet auf, wann das Passwort eines Benutzers zuletzt gesetzt oder geändert wurde. Wenn dieses Passwort so alt ist wie die Gültigkeitsdauer, wird die nächste Passwort-Anmeldung des Benutzers blockiert, bis er es zurücksetzt. Benutzer ohne aufgezeichnetes Passwortänderungsdatum werden ab dem Zeitpunkt gemessen, an dem du die Richtlinie aktiviert hast – das Aktivieren führt also nicht dazu, dass alle Passwörter sofort ablaufen. Das Deaktivieren und erneute Aktivieren der Richtlinie setzt diesen Startzeitpunkt zurück.

Wenn der Benutzer ein neues Passwort setzt – egal ob über Passwort vergessen, die Account API oder die Management API – beginnt das Passwortalter von vorne und ein manuelles Ablaufdatum wird gelöscht.

Passwort eines Benutzers manuell ablaufen lassen

Wenn die Passwortablauf-Richtlinie aktiviert ist, kannst du einen bestimmten Benutzer dazu zwingen, sein Passwort bei der nächsten Anmeldung zurückzusetzen:

• Konsole: Gehe zu Konsole > Benutzerverwaltung, öffne die Detailseite des Benutzers und klicke auf Ablaufen lassen neben dem Passwort des Benutzers. Bestätige dann die Aktion. Die Schaltfläche ist nur verfügbar, wenn der Benutzer ein Passwort hat.

• Management API: Rufe PATCH /api/users/{userId}/password/expiration mit folgendem Body auf:

  {
    "isExpired": true
  }

Wenn die Richtlinie nicht aktiviert ist, gibt die API 400 mit dem Fehlercode sign_in_experiences.password_expiration_not_enabled zurück und die Ablaufen lassen-Schaltfläche in der Konsole ist deaktiviert.

Ein häufiger Fall ist ein Passwort, von dem bekannt ist, dass es kompromittiert wurde. Durch das Ablaufenlassen muss der Benutzer nachweisen, dass er seine E-Mail-Adresse oder Telefonnummer mit einem Verifizierungscode besitzt, bevor er ein neues Passwort setzen und sich erneut anmelden kann. Wenn du Passwörter nur manuell ablaufen lassen möchtest und keine regelmäßige Rotation für alle Benutzer erzwingen willst, aktiviere die Richtlinie mit einer langen Gültigkeitsdauer, z. B. 3650 Tage.

Das Ablaufenlassen eines Passworts meldet den Benutzer nicht von bestehenden Sitzungen ab. Um den Zugriff sofort zu beenden, widerrufe auch die aktiven Sitzungen des Benutzers und autorisierte Drittanbieter-Apps.

Was Endbenutzer sehen

Wenn sich ein Benutzer mit einem abgelaufenen Passwort anmeldet, zeigt die Anmeldeseite nach Eingabe des richtigen Passworts ein Modal mit der Nachricht „Dein Passwort ist abgelaufen und muss zurückgesetzt werden, bevor du dich anmelden kannst.“ an. Durch Klicken auf Passwort zurücksetzen gelangt der Benutzer zum Passwort-vergessen-Flow mit vorausgefülltem Identifikator. Nachdem er sich mit einem an seine E-Mail oder Telefonnummer gesendeten Code verifiziert und ein neues Passwort gesetzt hat, kann er sich erneut anmelden.

Wenn du dein eigenes Anmelde-UI mit der Experience API baust, schlägt die Passwortüberprüfung mit dem Fehlercode password.expired (HTTP 422) fehl. Behandle diesen Fehler, indem du den Benutzer zu deinem Passwort-Reset-Flow weiterleitest.

Passwort-Konformitätsprüfung

Nachdem du die Passwort-Richtlinie in Logto aktualisiert hast, können sich bestehende Benutzer weiterhin mit ihren aktuellen Passwörtern anmelden. Nur neu erstellte Konten müssen die aktualisierte Richtlinie befolgen.

Um eine stärkere Sicherheit durchzusetzen, kannst du die POST /api/sign-in-exp/default/check-password API verwenden, um zu prüfen, ob das Passwort eines Benutzers der aktuellen Richtlinie in der Standard-Anmeldeerfahrung entspricht. Falls nicht, kannst du den Benutzer mit einem eigenen Flow über die Account API auffordern, sein Passwort zu aktualisieren.

Verwandte Ressourcen

Benutzer verwalten Registrierung und Anmeldung Kontoeinstellungen per Account API

Gestalte deine Passwort-Richtlinie