การยืนยันความปลอดภัย
เมื่อผู้ใช้ที่ผ่านการยืนยันตัวตนพยายามดำเนินการที่มีความอ่อนไหวหรือมีความเสี่ยงสูง เช่น การเปลี่ยนรหัสผ่าน การชำระเงิน หรือเข้าถึงข้อมูลสำคัญอย่างสลิปเงินเดือนหรือรายละเอียดบัญชีธนาคาร จำเป็นต้องมีมาตรการความปลอดภัยเพิ่มเติม กระบวนการนี้มีความสำคัญอย่างยิ่งในแอปพลิเคชันที่มีความอ่อนไหว เช่น ธนาคาร การแพทย์ และบริการภาครัฐ
กระบวนการนี้เรียกว่า การยืนยันความปลอดภัย ซึ่งผู้ใช้จะต้องยืนยันตัวตนอีกครั้งเพื่อยืนยันว่าตนเองเป็นเจ้าของบัญชีที่ได้รับอนุญาตจริง การนำการยืนยันความปลอดภัยมาใช้จะช่วยเสริมการป้องกันการเข้าถึงโดยไม่ได้รับอนุญาต เพิ่มชั้นความปลอดภัยที่สำคัญสำหรับการดำเนินการที่มีความเสี่ยงสูง และช่วยปกป้องข้อมูลสำคัญ
หากต้องการบังคับให้มีการยืนยันตัวตนล่าสุดหรือ MFA สำหรับแอปพลิเคชันของคุณเองและทรัพยากร API ที่ได้รับการปกป้อง หรือเพื่ออนุญาตการเรียก Account API ที่มีความอ่อนไหวโดยใช้โทเค็นมาตรฐาน ให้ใช้ OIDC step-up authentication (acr_values, max_age และ RFC 9470 challenges)
ใช้ Verification API ด้านล่างนี้เมื่อแอปพลิเคชัน first-party ของคุณเรียก Account API โดยตรงพร้อมกับ header logto-verification-id หรือเมื่อคุณต้องการพิสูจน์ความเป็นเจ้าของอีเมลหรือหมายเลขโทรศัพท์ใหม่ก่อนผูกกับบัญชี
การใช้งานการยืนยันความปลอดภัยผ่าน Account API
อย่าลืม เปิดใช้งาน Account API ก่อน และรับ access_token สำหรับผู้ใช้
การยืนยันรหัสผ่าน
เมื่อผู้ใช้พยายามเปลี่ยนรหัสผ่านหรือการตั้งค่าความปลอดภัยอื่น ๆ ผ่านการเชื่อมต่อกับ Account API โดยตรง ให้แจ้งให้ผู้ใช้กรอกรหัสผ่านปัจจุบันเพื่อรับ verificationRecordId ที่มีอายุ 10 นาที สำหรับใช้ใน header logto-verification-id
| method | path | description |
|---|---|---|
| POST | /api/verifications/password | ตรวจสอบรหัสผ่านปัจจุบันของผู้ใช้ |
การยืนยันรหัสครั้งเดียวทางอีเมล / SMS
ส่งรหัสยืนยันไปยังอีเมลหรือหมายเลขโทรศัพท์ของผู้ใช้ และแจ้งให้ผู้ใช้กรอกรหัสเพื่อยืนยันตัวตน Endpoint เหล่านี้สามารถใช้เพื่อยืนยันตัวตนของผู้ใช้ หรือเพื่อยืนยันความเป็นเจ้าของอีเมลหรือหมายเลขโทรศัพท์เฉพาะ การยืนยันนี้แนะนำอย่างยิ่งเมื่อผู้ใช้พยายามเชื่อมโยงอีเมลหรือหมายเลขโทรศัพท์ใหม่กับบัญชี เพื่อให้มั่นใจว่าข้อมูลที่ให้มานั้นถูกต้องแท้จริง
| method | path | description |
|---|---|---|
| POST | /api/verifications/verification-code | ส่งรหัสยืนยันอีเมลหรือหมายเลขโทรศัพท์ |
| POST | /api/verifications/verification-code/verify | ยืนยันอีเมลหรือหมายเลขโทรศัพท์ด้วยรหัสยืนยัน |