日本語
Logto 製品アップデート
Logto v1.38.0 がリリースされました。このリリースでは、OAuth 2.0 デバイス認可グラントのサポート、パスキーサインイン、適応型 MFA、セッションやグラント管理、さらに OSS デプロイメント向けに柔軟な OIDC 設定が追加されています。
Charles
Developer
Developer
Logto v1.38.0 がリリースされました。このリリースでは、OAuth 2.0 デバイス認可グラントのサポート、パスキーサインイン、適応型 MFA、セッションやグラント管理、さらに OSS デプロイメント向けに柔軟な OIDC 設定が追加されています。
Logto v1.38.0（2026 年 3 月リリース）を発表できることを嬉しく思います！このアップデートでは、入力制限デバイス向けデバイスフロー追加、パスキーサインインと適応型 MFA の改善、セッション・グラント・テナントレベル設定の拡張など、多くの機能が Logto に追加されています。
本リリースの最大の追加機能のひとつが OAuth 2.0 デバイス認可グラントのサポートです。これにより、フルキーボードやブラウザーが利用できないスマート TV、CLI ツール、ゲーム機、IoT デバイスなどの認証フロー構築が格段に簡単になりました。
デバイスフローを使うことで、ユーザーは以下のことが可能です：
また、デバイスフローアプリケーション向けにコンソールの完全サポートも追加されました。入力制限アプリ / CLI をネイティブアプリで選択する、または手動でアプリを作成する際にデバイスフローを認可フローとして選ぶことで、デバイスフローアプリが作成可能です。アプリ設定ページにはガイドとデモも組み込まれており、すぐに始められます。
このリリースから、パスキーサインインが Logto 上で完全な認証手段として導入されました。
パスキーサインインは、パスワードなしで高速な再ログイン体験とセキュリティ向上を両立します。Face ID、Touch ID、Windows Hello など、なじみのあるプラットフォーム認証器と連携します。
今回、いくつかのパスキーベース導線のサポートを追加しました：
詳細は パスキーサインインドキュメント をご覧ください。
モダンな MFA 体験の実現に向けて、今回も主に 2 つの大きな改善を行いました。
Logto で適応型 MFA が利用可能になりました。有効化すると、サインイン時に現在のコンテキストとルールを評価し、ルールに合致した場合だけ MFA を要求します。
この機能は以下も含みます：
context.interaction.signInContext を参照PostSignInAdaptiveMfaTriggered Webhook イベントMFA を必須にしていないユーザー向けに、認証情報検証後に MFA 有効化を案内する専用オンボーディングページを表示できるようになりました。
特にパスキーサインインと併用する場合、ユーザーが MFA 要素としては有効化せず、単体でパスキー利用できるシナリオで便利です。
本リリースではアカウントと管理関連で、ユーザーセッションや認可アプリを管理するためのコントロールを大幅追加しています。
Logto ではアカウント API と管理 API の双方でセッション管理が可能になりました。アクティブセッション一覧・詳細参照・セッション強制破棄（任意で付随するグラントも同時無効化）に対応しています。
追加項目：
session 権限（off / readOnly / edit）urn:logto:scope:sessions の追加コンソール側では、ユーザー詳細に アクティブセッション セクションとセッション詳細ページ（破棄ボタン付）が追加されました。
Logto でアプリグラント一覧表示と強制失効を、アカウント API・管理 API 共にサポートしました。
また、コンソールのユーザー詳細ページに 認可済みサードパーティアプリ セクションが追加され、アクティブな認可一覧やアプリ名・作成日時などのメタデータ閲覧、アクセス権限の直接 UI からの削除が可能です。
アプリケーションごとに customClientMetadata に maxAllowedGrants を指定し、特定アプリのユーザーが保持できるアクティブグラント数を制限できるようになりました。上限を超えた場合、最も古いグラントが自動的に失効されます。
コンソールにもアプリ詳細内に 同時デバイス数制限 セクションが新設され、ビジュアルに設定可能です。
OSS ユーザー向けに、OIDC 設定がより柔軟かつ管理しやすくなりました。
logto-config で oidc.session.ttl を指定することで、OIDC プロバイダーのセッション TTL を秒単位でカスタマイズ可能です（未設定の場合、デフォルトは 14 日）。
さらに次の API が追加されました：
GET /api/configs/oidc/sessionPATCH /api/configs/oidc/sessionコンソール側は、OSS 環境で新たに テナント -> 設定 ページと OIDC 設定 タブが追加され、従来の署名鍵ページを置き換えています。新ページではセッション TTL を日付単位で設定できる 最大存続期間 欄も追加されています。
OSS で運用中の際は、設定変更後のサービス再起動をお忘れなく！設定変更を即時反映したい場合は Central Redis Cache の導入もご検討ください。
組み込みの Account Center もアップグレードされています。
ユーザーは：
/authenticator-app/replace ルートから認証アプリの交換が可能にidentifier URL パラメーターで識別子欄を事前入力ui_locales URL パラメーターで Account Center の言語を上書きまた、パスワードフォームの自動入力・パスワードマネージャ対応も強化しています。
他サービスから Logto へユーザー移行を行うチーム向けに、GET /users および GET /users/:userId エンドポイントで includePasswordHash クエリパラメーターが指定可能になりました。有効時は応答に passwordDigest と passwordAlgorithm が含まれ、パスワードハッシュの移行が容易です。
また、サービス間委任でのアクセストークンエクスチェンジもサポート。Logto は不透明または JWT アクセストークンを、標準 urn:ietf:params:oauth:token-type:access_token トークンタイプを用いて、異なるオーディエンスへの新たなアクセストークンに交換できます。
以下を含む多くの安定性と互換性改善も行いました：
findByUid・findByUserCode がリテラル JSONB キーにより、プリペアド汎用プラン時の式インデックス運用を最適化。hex: プレフィックス PBKDF2 ソルト値サポートTo フォーマットが非 E.164 番号でも先頭に + を必ず付与するように正規化本リリースは connector toolkit に破壊的変更を含みます。
長らく非推奨だった mockSmsVerificationCodeFileName のエクスポートは @logto/connector-kit から削除されました。
モックコネクタが送信メッセージ記録に使っていたファイルパスも変更されています：
/tmp/logto_mock_email_record.txt → /tmp/logto/mock_email_record.txt/tmp/logto_mock_sms_record.txt → /tmp/logto/mock_sms_record.txtローカルや Docker ベースのワークフローで旧パス利用の場合は、パスを更新してください。
Logto 改善にご協力いただいた新しいコントリビュータに感謝します：
アップグレードの準備はできましたか？アップグレードガイド でステップバイステップ手順を確認してください。
すべての変更内容は GitHub リリースページ でご確認いただけます。