Logto ürün güncellemeleri

Logto v1.38.0'ın, Mart 2026 sürümümüzün duyurusunu yapmaktan heyecan duyuyoruz! Bu güncelleme, giriş sınırlı uygulamalar için cihaz akışını ekliyor, geçiş anahtarı ile oturum açma ve uyarlanabilir MFA iyileştirmeleri sunuyor ve Logto genelinde oturum, izin ve kiracı düzeyinde yapılandırma kontrollerini genişletiyor.

Giriş sınırlı uygulamalar için cihaz akışı#

Bu sürümdeki en büyük eklemelerden biri OAuth 2.0 Cihaz Yetkilendirme İzni desteği oldu. Bu, tam bir klavyeye veya tarayıcıya sahip olmayan cihazlar (ör. akıllı TV'ler, CLI araçları, oyun konsolları, IoT cihazları) için kimlik doğrulama akışlarını oluşturmayı çok daha kolay hale getiriyor.

Cihaz akışı ile kullanıcılar:

• Cihazda oturum açmayı başlatabilir
• Başka bir cihazda bir doğrulama URL'si açabilir
• Kısa bir kullanıcı kodu girebilir
• Orada kimlik doğrulamayı tamamlayabilir
• Verilen belirteçlerle orijinal cihaza dönebilir

Ayrıca cihaz akışı uygulamaları için tam Konsol desteği de ekledik. Artık Giriş sınırlı uygulama / CLI'yı Yerel uygulamalar altında seçerek veya uygulamayı manuel olarak oluştururken Cihaz akışı'nı yetkilendirme akışı olarak seçerek cihaz akışlı uygulama oluşturabilirsiniz. Uygulama ayarları sayfasında başlamak için yerleşik bir rehber ve demo da bulunmaktadır.

Geçiş anahtarı ile oturum açma birinci sınıf akış oluyor#

Bu sürümde geçiş anahtarı ile oturum açma Logto'da tam bir kimlik doğrulama yöntemi olarak sunuldu.

Geçiş anahtarı ile oturum açma, tekrar gelen kullanıcılar için daha hızlı, şifresiz bir deneyim sağlayarak hesap güvenliğini de artırır. Face ID, Touch ID ve Windows Hello gibi tanıdık platform doğrulayıcılarıyla çalışır.

Birkaç geçiş anahtarına dayalı kullanıcı yolculuğunu destekledik:

• Hızlı oturum açmak için özel bir Geçiş anahtarı ile devam et butonu
• Geçiş anahtarı doğrulamasını önceliklendiren, ardından şifre veya doğrulama koduna dönen bir kimlik belirleyici ilk akış
• Kullanıcının kimlik alanına kaydedilmiş bir geçiş anahtarını doğrudan seçmesini sağlayan tarayıcı otomatik doldurma desteği
• Yeni kullanıcılar için kayıt sırasında geçiş anahtarı bağlama
• Mevcut bir WebAuthn MFA kimlik bilgisi ile geçiş anahtarı oturum açmayı ek kayıt adımı olmadan tekrar kullanma

Daha fazla detay için geçiş anahtarı ile oturum açma dokümantasyonumuza bakabilirsiniz.

Uyarlanabilir MFA ve daha iyi MFA rehberliği#

Bu sürüm, modern MFA deneyimlerine yaptığımız yatırımlara iki büyük iyileştirme ile devam ediyor.

Uyarlanabilir MFA#

Uyarlanabilir MFA artık Logto'da destekleniyor. Etkinleştirildiğinde, oturum açma akışı mevcut oturum açma bağlamını uyarlanabilir MFA kurallarına karşı değerlendirir ve bu kurallar tetiklendiğinde MFA talep eder.

Bununla birlikte:

• Konsolda uyarlanabilir MFA yapılandırması
• Etkileşim verilerinde kalıcı oturum açma bağlamı
• Özel-iddia betiklerinde context.interaction.signInContext erişimi
• Yeni PostSignInAdaptiveMfaTriggered webhook olayı

Opsiyonel MFA başlatma#

MFA kurmak zorunda olmayan kullanıcılar için, Logto artık kimlik bilgisi doğrulamasından sonra onlara MFA etkinleştirmeyi isteyip istemediklerini soran özel bir başlatma sayfası gösterebilir.

Bu özellikle geçiş anahtarı ile oturum açma ile birlikte kullanışlıdır; bir kullanıcı, giriş için geçiş anahtarları kullanmak isteyebilir, ancak aynı anda bunları MFA faktörü olarak etkinleştirmek istemeyebilir.

API'ler ve Konsol genelinde oturum ve izin yönetimi#

Bu sürüm, kullanıcı oturumları ve yetkilendirilmiş uygulamalar etrafında büyük bir hesap ve yönetici kontrol seti ekliyor.

Kullanıcı oturumu yönetimi#

Logto artık hem hesap API'lerinde hem de yönetim API'lerinde oturum yönetimini desteklemektedir. Aktif oturumları listeleyebilir, oturum detaylarını inceleyebilir ve isteğe bağlı izin iptali davranışıyla oturumları iptal edebilirsiniz.

Ayrıca şunları da tanıttık:

• Hesap Merkezi ayarlarında off, readOnly ve edit seçenekleriyle yeni bir session izni
• Oturum ile ilgili hesap API erişimi için yeni bir urn:logto:scope:sessions kullanıcı kapsamı
• Mümkünse IP, kullanıcı ajanı ve coğrafi konum dahil olmak üzere zenginleştirilmiş oturum bağlamı

Konsol tarafında, kullanıcı detayları artık Aktif oturumlar bölümünü ve iptal desteği olan özel bir oturum detayları sayfasını içeriyor.

Yetkilendirilmiş uygulama izin yönetimi#

Logto artık hem hesap hem de yönetim API'lerinde kullanıcı uygulaması izinlerini listelemeyi ve iptal etmeyi destekliyor.

Bu sürüm ayrıca Konsol'daki kullanıcı detayları sayfasına Yetkilendirilmiş üçüncü parti uygulamalar bölümünü ekliyor. Yöneticiler artık aktif üçüncü taraf yetkilendirmeleri görebilir, uygulama adı ve oluşturulma zamanı gibi meta verileri inceleyebilir ve erişimi doğrudan arayüzden iptal edebilir.

Uygulama düzeyinde eşzamanlı cihaz sınırları#

Uygulamalar artık customClientMetadata içerisinde bir maxAllowedGrants değeri tanımlayarak bir kullanıcı için belirli bir uygulamada kaç aktif izne sahip olunabileceğini sınırlayabilir. Yapılandırılan sınır aşıldığında, Logto en eski izinleri otomatik olarak iptal eder.

Konsoldaki uygulama detaylarında görsel olarak yapılandırılabilen yeni bir Eşzamanlı cihaz sınırı bölümü de bulunuyor.

OIDC ayarları için daha fazla OSS kontrolü#

OSS kullanıcıları için bu sürüm, OIDC ayarlarını daha yapılandırılabilir ve yönetilmesi daha kolay hale getiriyor.

Artık logto-config içinde oidc.session.ttl'yi tanımlayarak OIDC sağlayıcı oturumu TTL'ini saniye cinsinden özelleştirebilirsiniz. Ayarlanmazsa varsayılan 14 gündür.

Ayrıca şunlar da eklendi:

• GET /api/configs/oidc/session
• PATCH /api/configs/oidc/session

Konsol tarafında, OSS artık eski İmzalama anahtarları sayfasının yerine geçen yeni bir Kiracı -> Ayarlar sayfası ve OIDC ayarları sekmesine sahip. Yeni sayfa ayrıca günle yapılandırılabilen bir Oturumun maksimum ömrü alanı da içeriyor.

OSS çalıştırıyorsanız, yeni OIDC ayarlarının yüklenmesi için yapılandırma değişikliklerinden sonra hizmeti yeniden başlatmayı unutmayın. Yapılandırma güncellemelerinin otomatik olarak etkili olmasını istiyorsanız, merkezi Redis önbelleğini etkinleştirmeyi düşünebilirsiniz.

Hesap Merkezi iyileştirmeleri#

Hazır gelen Hesap Merkezi de bu sürümde birkaç yararlı yükseltme alıyor.

Kullanıcılar artık:

• Özel bir /authenticator-app/replace rotası üzerinden kimlik doğrulayıcı uygulamalarını değiştirebilir
• Kimlik alanlarını önceden doldurmak için identifier URL parametresini kullanabilir
• Yerleşik Hesap Merkezi dilini ui_locales URL parametresi ile geçersiz kılabilir

Ayrıca, daha iyi tarayıcı otomatik doldurma ve şifre yöneticisi uyumluluğu için şifre formlarını geliştirdik.

Geliştirici odaklı API iyileştirmeleri#

Kullanıcıları Logto'ya taşıyan ekipler için GET /users ve GET /users/:userId uç noktaları artık bir includePasswordHash sorgu parametresi destekliyor. Etkinleştirildiğinde, yanıt passwordDigest ve passwordAlgorithm içerir ve bu, ham şifre karma verisi gerektiren geçiş iş akışlarına yardımcı olabilir.

Ayrıca servisler arası yetkilendirme senaryolarında erişim belirteci değişimini de destekledik. Logto artık opak veya JWT erişim belirteçlerini standart urn:ietf:params:oauth:token-type:access_token belirteç tipiyle farklı hedef kitlelere sahip yeni erişim belirteçlerine dönüştürebilir.

Hata düzeltmeleri#

Bu sürümde ayrıca birkaç kararlılık ve uyumluluk iyileştirmesi bulunmaktadır:

• TOTP, WebAuthn ve yedek kodlar için MFA doğrulama rotaları artık Sentinel'e etkinlik raporlar, tekrar eden hataların tespit ve izolasyonunu kolaylaştırır.
• OIDC bağdaştırıcı sorguları için findByUid ve findByUserCode artık ifade dizinlerinin hazırlanan genel planlarda daha iyi çalışmasını sağlayan gerçek JSONB anahtarları kullanır.
• Postgres havuzu başlatılırken geçici başlatma bağlantı hatalarında tekrar deneme yapılır.
• Eski şifre doğrulaması artık kullanıcı aktarımı sırasında hex: öneki olan PBKDF2 tuz değerlerini destekler.
• Belirteç değişimi performansı, minimum OIDC kaynak aramalarını önbelleğe alarak ve belirteç oluşturma sırasında izin kimliklerini önceden oluşturarak artırıldı.
• Twilio SMS To formatlaması, başında + olduğundan emin olarak artık E.164 olmayan numaralar için normalize edildi.

Kırıcı değişiklikler#

Bu sürümde bir bağlayıcı araç seti kırıcı değişikliği vardır.

Uzun süredir kullanımdan kaldırılmış olan mockSmsVerificationCodeFileName dışa aktarımı @logto/connector-kit'ten kaldırıldı.

Ayrıca, sahte bağlayıcıların gönderilen mesaj kayıtlarını saklamak için kullandığı dosya yolları da güncellendi:

• /tmp/logto_mock_email_record.txt -> /tmp/logto/mock_email_record.txt
• /tmp/logto_mock_sms_record.txt -> /tmp/logto/mock_sms_record.txt

Yerel veya Docker tabanlı iş akışlarınız eski yollara bağlıysa, bunları güncellemeniz gerekecek.

Yeni katkıda bulunanlar#

Logto'yu geliştiren yeni katkıda bulunanlara teşekkürler:

• @taka-guevara ilk katkısını #8555 ile yaptı
• @synchrone ilk katkısını #8504 ile yaptı
• @ppotaczek ve @leoshusar ilk katkılarını #8526 ile yaptı

Başlarken#

Yükseltmeye hazır mısınız? Adım adım talimatlar için yükseltme rehberimize göz atın.

Tüm değişikliklerin tam listesi için GitHub sürüm sayfasına bakabilirsiniz.

Sorularınız veya geri bildiriminiz mi var? Discord'da bize katılın veya GitHub üzerinden bir sorun açın.