Verificación de seguridad

Cuando los usuarios autenticados intentan realizar acciones sensibles o de alto riesgo—como cambiar su contraseña, realizar un pago o acceder a información confidencial como recibos de pago o detalles de cuentas bancarias—son esenciales medidas de seguridad adicionales. Este flujo es especialmente crítico en aplicaciones sensibles como banca, salud y servicios gubernamentales.

Este proceso, conocido como verificación de seguridad, requiere que los usuarios vuelvan a verificar su identidad para confirmar que son el titular autorizado de la cuenta. Al implementar la verificación de seguridad, el sistema refuerza la protección contra accesos no autorizados, añadiendo una capa crítica de seguridad para acciones de alto riesgo y ayudando a salvaguardar datos sensibles.

Prefiere la autenticación step-up OIDC para aplicaciones y APIs:

Para exigir autenticación reciente o MFA en tus propias aplicaciones y recursos de API protegidos—o para autorizar llamadas sensibles a la Account API usando tokens estándar—utiliza la autenticación step-up OIDC (acr_values, max_age y desafíos RFC 9470).

Utiliza la Verification API a continuación cuando tu aplicación de primer partido llame directamente a la Account API con un encabezado logto-verification-id, o cuando necesites demostrar la propiedad de una nueva dirección de correo electrónico o número de teléfono antes de vincularlo a la cuenta.

Implementar la verificación de seguridad mediante Account API

nota:

Recuerda habilitar la Account API primero y obtener el access_token para el usuario.

Verificación de contraseña

Cuando los usuarios intentan cambiar su contraseña u otra configuración de seguridad a través de una integración directa con la Account API, pídeles que ingresen su contraseña actual para obtener un verificationRecordId válido por 10 minutos para el encabezado logto-verification-id.

method	path	description
POST	/api/verifications/password	Verificar la contraseña actual del usuario.

Verificación por código único de Email/SMS

Envía un código de verificación al correo electrónico o número de teléfono del usuario y pídeles que ingresen el código para confirmar su identidad. Estos endpoints pueden usarse para verificar la identidad de un usuario o para confirmar la propiedad de un correo electrónico o número de teléfono específico. Este paso de verificación es altamente recomendado cuando un usuario intenta vincular una nueva dirección de correo electrónico o número de teléfono a su cuenta, asegurando la autenticidad de la información proporcionada.

method	path	description
POST	/api/verifications/verification-code	Enviar código de verificación por correo o teléfono.
POST	/api/verifications/verification-code/verify	Verificar correo o teléfono mediante código de verificación.