事後分析: JWKS キャッシュと署名キーのローテーションによる認証障害

2026 年 1 月 8 日 (PST) の認証インシデントに関する事後分析。

Gao

Founder

1/8/2026

ユーザー認証に何週間も費やすのはもうやめましょう

Logto でより速く安全なアプリをリリース。数分で認証を統合し、コア製品に集中できます。

日時: 2026 年 1 月 8 日 (PST)

期間: 約 60 分

影響範囲: 一部の本番テナントでサインインやトークン検証が失敗した。Console のサインインにも影響の可能性あり。

概要

ローテーションされた署名キーと *.logto.io ドメインでキャッシュされた JWKS との不一致により、トークン検証が失敗しました。JWKS キャッシュをクリアし、以前の署名キーに戻して復旧しました。

一部のユーザーでは、ブラウザーのキャッシュが原因で Console のサインイン問題が継続する場合があります。この混乱をおかけしたことをお詫びします。

インシデント発生中、一部ユーザーがサインインできず、一部のトークン検証が失敗しました。これは複数の本番テナントに影響し、Logto Console へのアクセスがブロックされる場合もありました。

本件による不正アクセスの証拠は確認されておらず、影響は認証失敗のみに限定されていました。

Logto Console にまだサインインできない場合は、お手数ですが以下の方法をお試しください:

顧客テナントドメイン (*.logto.app) の JWKS キャッシュ設定を更新。Cloud ドメイン (*.logto.io) では JWKS キャッシュが誤って有効のままでした。
Cloud サービスの署名キーをローテーション。*.logto.io の JWKS レスポンスがキャッシュされていたため、一部クライアントが古い JWKS を使い続け、新しいトークンの検証に失敗。
*.logto.io の JWKS キャッシュをクリア、署名キーを前のものに戻し、さらに JWKS キャッシュを再度クリアしてクライアントが復旧したキーセットを参照するよう対応。
認証が復旧。一部ユーザーは引き続きブラウザーキャッシュが影響する可能性あり。

キーのローテーションは単なる鍵管理ではなく、発行者と検証者間のキャッシュ挙動も考慮すべきエンドツーエンドの互換性変更です。ドメイン間 (*.logto.app と *.logto.io) での設定差異は実際のリスクであり、一方で安全な変更が他方のドメインで問題を起こす場合があります。

これまでの統合テストでは本番に近い JWKS キャッシュ挙動をカバーできておらず、この失敗モードはローテーション前に検出できませんでした。

今後の対応: