Postmortem zum Authentifizierungs-Vorfall am 8. Januar 2026 (PST).
Datum: 8. Januar 2026 (PST)
Dauer: ca. 60 Minuten
Auswirkung: Einige Produktionsmandanten hatten Probleme beim Anmelden und bei der Token-Validierung; die Anmeldung an der Console konnte betroffen sein.
Eine Diskrepanz zwischen einem rotierten Signaturschlüssel und einem zwischengespeicherten JWKS auf unserer *.logto.io-Domain führte zu Fehlern bei der Token-Validierung. Wir haben den JWKS-Cache geleert und auf den vorherigen Signaturschlüssel zurückgesetzt, um den Dienst wiederherzustellen.
Einige Nutzer können weiterhin Anmeldeprobleme in der Console aufgrund des Browser-Caches sehen. Wir entschuldigen uns für die dadurch entstandene Störung.
Während des Vorfalls konnten sich einige Nutzer nicht anmelden und einige Token-Validierungen schlugen fehl. Dies betraf mehrere Produktionsmandanten und konnte auch den Zugriff auf die Logto Console blockieren.
Wir haben keine Hinweise auf unbefugten Zugriff im Zusammenhang mit diesem Vorfall gesehen; die Auswirkung war auf Authentifizierungsfehler beschränkt.
Kannst du dich immer noch nicht in die Logto Console einloggen? Dann versuche bitte Folgendes:
*.logto.app) aktualisiert. Das JWKS-Caching war versehentlich weiterhin auf unserer Cloud-Domain (*.logto.io) aktiviert.*.logto.io zwischengespeichert waren, verwendeten einige Clients weiterhin einen veralteten JWKS und konnten neu ausgestellte Tokens nicht validieren.*.logto.io geleert, auf den vorherigen Signaturschlüssel zurückgesetzt und den JWKS-Cache erneut geleert, um sicherzustellen, dass die Clients den zurückgesetzten Schlüsselsatz übernehmen.Schlüsselrotation ist nicht nur ein Schlüsselmanagement-Aufgabe. Es ist eine End-to-End-Kompatibilitätsänderung, bei der das Caching-Verhalten zwischen Aussteller und Validator berücksichtigt werden muss. Konfigurationsabweichungen zwischen Domains (*.logto.app vs *.logto.io) sind ein echtes Risiko. Änderungen, die für eine Domain sicher sind, können eine andere brechen, wenn sie nicht konsistent angewendet werden.
Unsere bestehenden Integrationstests haben das produktionstypische JWKS-Caching-Verhalten nicht abgedeckt, sodass dieser Fehlerfall vor der Rotation nicht erkannt wurde.
Wir implementieren: