Vérification de sécurité
Lorsque des utilisateurs authentifiés tentent d'effectuer des actions sensibles ou à haut risque—comme changer leur mot de passe, effectuer un paiement, ou accéder à des informations sensibles telles que des fiches de paie ou des détails de compte bancaire—des mesures de sécurité supplémentaires sont essentielles. Ce flux est particulièrement crucial dans les applications sensibles comme la banque, la santé et les services gouvernementaux.
Ce processus, appelé vérification de sécurité, exige que les utilisateurs revérifient leur identité afin de confirmer qu'ils sont bien le titulaire autorisé du compte. En mettant en œuvre la vérification de sécurité, le système renforce la protection contre les accès non autorisés, ajoutant une couche critique de sécurité pour les actions à haut risque et aidant à protéger les données sensibles.
Pour imposer une authentification récente ou une MFA pour vos propres applications et ressources API protégées—ou pour autoriser des appels sensibles à l’Account API à l’aide de jetons standard—utilisez l’authentification step-up OIDC (acr_values, max_age et défis RFC 9470).
Utilisez l’API de vérification ci-dessous lorsque votre application propriétaire appelle directement l’Account API avec un en-tête logto-verification-id, ou lorsque vous devez prouver la propriété d’une nouvelle adresse e-mail ou d’un nouveau numéro de téléphone avant de l’associer au compte.
Mettre en œuvre la vérification de sécurité via l’Account API
N'oubliez pas d’activer l’Account API au préalable, et d’obtenir le access_token pour l’utilisateur.
Vérification du mot de passe
Lorsque les utilisateurs tentent de changer leur mot de passe ou un autre paramètre de sécurité via une intégration directe à l’Account API, invitez-les à saisir leur mot de passe actuel pour obtenir un verificationRecordId valable 10 minutes pour l’en-tête logto-verification-id.
| method | path | description |
|---|---|---|
| POST | /api/verifications/password | Vérifier le mot de passe de l’utilisateur. |
Vérification par code à usage unique Email/SMS
Envoyez un code de vérification à l’adresse e-mail ou au numéro de téléphone de l’utilisateur et invitez-le à saisir ce code pour confirmer son identité. Ces points de terminaison peuvent être utilisés pour vérifier l’identité d’un utilisateur ou pour confirmer la propriété d’une adresse e-mail ou d’un numéro de téléphone spécifique. Cette étape de vérification est fortement recommandée lorsqu’un utilisateur tente d’associer une nouvelle adresse e-mail ou un nouveau numéro de téléphone à son compte, garantissant ainsi l’authenticité des informations fournies.
| method | path | description |
|---|---|---|
| POST | /api/verifications/verification-code | Envoyer un code de vérification par e-mail ou SMS. |
| POST | /api/verifications/verification-code/verify | Vérifier l’e-mail ou le numéro de téléphone par code. |