Logto v1.39.0 is hier en biedt veiligere rotatie van ondertekeningssleutels, slimmere foutafhandeling van JWT-scripts, uitgebreide beveiligingsinstellingen van het Account Center, ondersteuning voor WhatsApp-connector en belangrijke beveiligingsverbeteringen.
We zijn verheugd om Logto v1.39.0 te introduceren, een release gericht op sterkere operationele veiligheid, flexibelere tokenaanpassing en verbeterde accountbeveiliging voor eindgebruikers. Deze versie voegt een respijtperiode toe voor het roteren van privésleutels, configureerbare foutafhandeling voor aangepaste JWT-scripts, een nieuwe beveiligingspagina in het Account Center, WhatsApp-connectorondersteuning via de Meta Cloud API, en verschillende verbeteringen op het gebied van beveiliging en betrouwbaarheid in authenticatiestromen.
Logto ondersteunt nu een respijtperiode tijdens rotatie van privésleutels.
Dit kan geconfigureerd worden via:
PRIVATE_KEY_ROTATION_GRACE_PERIOD.--gracePeriod.Tijdens de respijtperiode:
Na afloop van de respijtperiode:
Dit zorgt voor een soepelere sleutelrotatie en voorkomt authenticatiefouten door verouderde JWKS-caches.
Documentatie: Sleutels roteren
Logto ondersteunt nu configureerbare foutafhandeling voor aangepaste JWT-scripts die gebruikt worden bij access token en client credentials flows.
Wijzigingen in deze release:
api.denyAccess() blijft een access_denied-reactie retourneren.invalid_request-antwoorden geretourneerd.blockIssuanceOnError ingeschakeld.Dit helpt ontwikkelaars om te bepalen of tokenaanpassingsfouten open of gesloten moeten falen, afhankelijk van hun beveiligingseisen.
Deze release voegt een nieuwe beveiligingspagina toe aan het standaard Account Center.
Eindgebruikers kunnen nu hun accountbeveiliging beheren via /account/security, inclusief:
Console-ondersteuning:
Er is een nieuwe WhatsApp-connector toegevoegd om berichten te versturen via de Meta Cloud API.
Hiermee kun je WhatsApp-gebaseerde SMS-/verificatiecode-scenario's gebruiken met de officiële Meta Cloud API-integratie.
APIs voor het toewijzen van organisatiegebruikers en rollen geven nu response bodies terug.
Bijgewerkte eindpunten:
POST /organizations/:id/users geeft nu { userIds: string[] } terug, waarmee de verzonden gebruikers-IDs worden bevestigd.POST /organizations/:id/users/:userId/roles geeft nu { organizationRoleIds: string[] } terug, met de uiteindelijke samengevoegde rol-IDs die aan de gebruiker zijn toegewezen, inclusief IDs die via rolnamen zijn opgezocht.Console-thema's bevatten nu de ontbrekende --color-overlay-primary-subtle token voor zowel licht als donker.
De verificatie voor vergeten wachtwoord retourneert nu eenduidig de fout verification_code.code_mismatch.
Hierdoor wordt voorkomen dat via verschillende foutmeldingen duidelijk wordt of een e-mailadres of telefoonnummer bestaat.
Verbeterde betrouwbaarheid van social- en SSO-redirects in in-app browsers zoals Instagram, Facebook en LINE.
Sommige in-app browsers openen OAuth identity provider pagina's in een nieuwe WebView, waardoor sessionStorage na redirect kan verdwijnen.
Deze release voegt een localStorage-fallback toe:
sessionStorage.localStorage.localStorage als sessionStorage ontbreekt.Er is een probleem opgelost waarbij het aanvraag-IP niet aan connectors werd doorgegeven bij verzending van verificatiecodes.
Hierdoor ontvangen connectors nu de juiste aanvraagcontext bij het bezorgen van verificatiecodes.