## Giriş [OpenID Connect Protokolü](https://openid.net/specs/openid-connect-core-1_0.html), aynı zamanda OIDC olarak da bilinir, kimlik yönetimi için temel bir çerçeve sağlamada yaygın olarak benimsenen bir standarddır. Bu, bilinen OAuth 2.0 protokolünün üstüne inşa edilmiş bir kimlik doğrulama katmanıdır. OAuth 2.0 sadece kaynak yetkilendirmesi için varken, OIDC yeni tanıtılan ID belirteci ile istemci kimlik doğrulamasını standartlaştıran ve güçlendiren protokoldür. Bekleyin... OAuth döneminde yenileme belirteci ve erişim belirteci duymuş olabilirsiniz ve şimdi OIDC'de yeni bir konsept var mı? Bu belirteçler arasındaki farkları gerçekten anlıyor musunuz? [Logto](https://logto.io/), kapsamlı Müşteri Kimliği ve Erişim Yönetimi (CIAM) çözümümüz, OIDC protokolünün üstünde kurulmuştur. Topluluğumuzda kullanıcılarımızdan en sık sorulan sorulardan biri şudur: > **Bir yenileme belirteci, bir erişim belirteci ve bir ID belirteci arasındaki farklar nelerdir?** Bu yüzden bu yazıda, OIDC belirtecini ana yönleriyle ele alacağız, aynı zamanda Logto'nun genel geliştirici deneyimini nasıl geliştirdiğini de aydınlatıyor olacağız. Logto Cloud'ı 5 dakikada dene ## Pratik bir senaryo ile başlayalım Tipik bir istemci-sunucu uygulaması üzerinde çalıştığınızı hayal edin ve bunlar arasında RESTful API'ler aracılığıyla iletişim kurarlar. API'lerinizin çoğunu özel tutmak ve yalnızca yetkili istemcilerin erişimine izin vermek istersiniz. İlk soru ile karşılaşabilirsiniz: ### API'mi korumak için hangi tip belirtece ihtiyacım var? Hızlı yanıt: Erişim belirteci. OIDC'de, her korunan API bir kaynak olarak kabul edilir. Erişim belirteci, istemcinin bir API kaynağını talep ederken sunucuya ilettiği belgedir, genellikle talep başlığı aracılığıyla. Sunucu tarafında, bir istek geldiğinde, sunucunun tek yapması gereken gelen isteğin geçerli bir erişim belirteci taşıyıp taşımadığını doğrulamaktır. Bir erişim belirteci, kullanıcının adına korunan kaynaklara erişim yetkisi sağlayan kısa ömürlü bir belgedir. Bir kullanıcı başarılı bir şekilde OIDC kullanarak kimlik doğruladığında, yetki sunucusu bir erişim belirteci düzenler. Bu belirteci, kullanıcı hakkında bilgi, izinleri ve geçerlilik süresi hakkında bilgi içerir. Belirteci, daha sonra her bir art arda gelen istekle kaynak sunucusuna gönderilir, sunucu kullanıcının kimliğinin doğrulanmasını ve istenen kaynaklara erişim yetkisinin verilmesini sağlar. Ancak, düşünebilirsiniz: Eğer istemci uygulamam başarılı bir giriş sonrası geçerli bir erişim belirteci alabiliyorsa ve erişim belirtecini sunucu API'lerini talep etmek için kullanıyorsa, bu yeterli değil mi? Neden yenileme belirteçlerine ve ID belirteçlerine ihtiyacım var? Gerçekten de, geçerli bir soru ve bunu adım adım açıklayalım. ### Neden yenileme belirteçlerine ihtiyacımız var? Teknik olarak erişim belirteçleri, sistemin çalışmasını sağlamak için minimum gereksinimleri karşılar, ancak güvenlik endişeleri nedeniyle erişim belirteçlerinin geçerlilik süresi genellikle çok kısa olur (tipik olarak bir saat). Yani eğer sadece erişim belirteçlerine sahip olursak, son kullanıcılar erişim belirteci süresi dolduğunda her seferinde yeniden kimlik doğrulaması yapmak zorunda kalacaktır. Modern tek sayfalık web uygulamaları ve özellikle mobil uygulamalar için, sık sık çıkış yapmak oldukça acı verici bir kullanıcı deneyimidir, hatta sadece kullanıcı güvenliğini korumaya çalışıyor olsak bile. Bu yüzden, belirteç güvenliği ve kullanıcı rahatlığı arasında bir dengeye ihtiyacımız var. İşte bu yüzden OIDC yenileme belirteçlerini tanıtır. Bir yenileme belirteci, kullanıcının yeniden kimlik doğrulamasını gerektirecek olmadan yeni erişim belirteçleri elde etmek için kullanılan daha uzun ömürlü bir belirtecidir. Daha fazla anahtar almak için bir anahtar gibidir. Yenileme belirteçleri, erişim belirtecinin süresi dolduğunda veya yenilenmesi gerektiğinde kullanılır. Bunların geçerlilik süresi, genellikle günler, haftalar veya hatta aylar boyunca süren erişim belirteçlerine kıyasla daha uzundur. ### Neden yenileme belirteçleri daha uzun ömürlü olabilir? Erişim belirteçleri API kaynaklarına erişmek için kullanılır, bu yüzden kısa ömürlü olmaları sızdırılmaları veya risk altında olmaları riskini hafifletir. Diğer yandan, yenileme belirteçleri sadece yeni erişim belirteçleri almak için kullanıldığından, erişim belirteçleri kadar sık kullanılmazlar ve böylece maruz kalma riski azaltılır. Bu nedenle, yenileme belirteçleri için daha uzun bir geçerlilik süresi kabul edilir. ### Yenileme belirteci güvenliğini sağlama Yenileme belirteci de istemci tarafında saklandığından, onların güvende olmasını sağlamak zorlu bir iştir, özellikle de tek sayfalık web uygulamaları (SPA) gibi halka açık istemciler için. Logto'da, yenileme belirteçlerinin otomatik olarak [döndürme mekanizması](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) varsayılan olarak etkindir, bu da yetkilendirme sunucusunun bir kriterleri karşıladığında yeni bir yenileme belirteci vereceği anlamına gelir: - Tek sayfalık uygulamalar: Gönderim kısıtlamalı olmayan istemciler olarak tanınır, bu uygulamalar, yenileme belirteci döndürme şartını dayatır. Yenileme belirtecinin zamanında yaşam (TTL) belirtilmez. - Native uygulamalar ve geleneksel web uygulamalar: Yenileme belirteci döndürme, TTL'nin %70'ine ulaştığında otomatik olarak yenilenir. [Daha fazla bilgi edinin](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Yine de yönetim panelindeki uygulama detayları sayfasında yenileme belirteci döndürmeyi devre dışı bırakma seçeneğiniz olsa da, bu koruma önlemini korumanızı kesinlikle öneririz. ### ID belirtecinin özü [ID belirteci](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) istemciye sunucuyu talep etmeksizin temel kullanıcı bilgilerini elde etme olanağı sağlar. ID belirteci, OIDC tarafından tanıtılan ve önbellekte kullanıcı kimlik doğrulama bilgilerini tutan, performans ve son kullanıcı deneyimini artıran yeni bir belirteç tipidir. Erişim belirteçlerinin aksine, yalnızca kaynak sunucusu tarafından anlaşıldığı varsayılan, ID belirteçleri istemci dostudur. İstemci bir OIDC belirteci değiştirme isteği yaptığında, bir erişim belirteci ile birlikte bir ID belirteci talep edebilir. ID belirteci, kullanıcı adı, e-mail, avatar resmi vb. gibi kullanıcı taleplerini içeren bir JSON Web Belirteci (JWT)'dir. Yetkilendirme sunucusu tarafından imzalanır ve istemci tarafından çevrimdışı olarak doğrulanabilir ve çözülebilir. Bu, modern tek sayfalık web uygulamaları ve mobil uygulamalar için özellikle kullanışlıdır, burada istemci ID belirtecini önbelleğe alabilir ve kullanıcının kimlik doğrulama durumunu belirlemek için kullanabilir, bu da genel performansı ve kullanıcı deneyimini büyük ölçüde geliştirir. Ayrıca, ID belirteçlerinin korunan kaynaklara erişim yetkisi sağlamak için kullanılmadığını belirtmek önemlidir; bu rolü erişim belirteçleri yerine getirir. Logto'da, istemci tarafında kimlik doğrulama durumunu belirlemeye yardımcı olmak için SDK'larımızda da ID belirtecini kullanıyoruz. Örneğin, [JS SDK'larımızda](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) şunları görebilirsiniz: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` Yukarıda da belirtildiği gibi, istemci SDK'nın `isAuthenticated` bayrağı yalnızca istemci önbelleği durumudur. Gerçek zamanlı kimlik doğrulama durumu, hala sunucu tarafından, yenileme ve erişim belirteçlerini doğrulayarak belirlenmelidir. Ayrıca, SDK'larımızda ID belirtecini çözmenize ve kullanıcı taleplerini almanıza yardımcı olacak bir `getUserClaims()` fonksiyonu sunuyoruz. Ancak, önbellekteki durum kullanıcı tekrar oturum açana kadar yenilenmez. Eğer OIDC sunucusundan gerçek zamanlı kullanıcı bilgileri almak isterseniz, yerine `fetchUserInfo()` kullanın. ## Logto'nun faydaları ve özellikleri Logto, OIDC protokolüne sıkı sıkıya bağlı olarak inşa edilmiştir, aynı zamanda geliştiriciler ve işletmeler için ek özellikler ve faydalar sunmaktadır: 1. Rahat SDK'lar: Logto SDK'ları belirteç yönetimini sizin için düzleştirir. Yenileme belirtecinizi ve erişim belirtecinizi manuel olarak depolamanız gerekmez. Her seferinde sadece `getAccessToken()` çağırın ve SDK her zaman depolanmış erişim belirtecini kullanmaya çalışacak veya süresi dolduysa otomatik olarak yenileyecektir. 2. Yenileme belirteci döndürme: Logto, yenileme belirtecinizin her zaman tüketildikten sonra yenilendiğinden emin olmak için yenileme belirteci döndürme mekanizmasını uygular, bu da sızdırılma veya tehlike altında olma riskini hafifletir. Yine de yönetim konsolunda devre dışı bırakabilirsiniz, ancak açık tutmanızı şiddetle tavsiye ederiz. 3. Optimize edilmiş performans: ID belirtecilerinin yardımı ile her zaman sunucuyu talep etmeksizin temel kullanıcı bilgilerini alabilirsiniz. Logto SDK'ları tarafından sağlanan `isAuthenticated` durumunu ve `getIdTokenClaims()` fonksiyonunu kullanarak istemci tarafında kullanıcı kimlik doğrulama durumunu kontrol edip kullanıcı taleplerini çözebilirsiniz. 4. Geliştirilmiş güvenlik: Logto, HTTPS ve TLS kullanarak istemci ve yetkilendirme sunucusu arasında güvenli bağlantıları uygular. Bu, belirtecilerinizi yetkisiz üçüncü taraflar tarafından hırsızlık potansiyeli olmaya karşı korur ve sisteminizin güvenliğini garantiler. ## Sonuç OIDC protokolünde, Yenileme Belirteçleri, Erişim Belirteçleri ve ID Belirteçleri birlikte çalışarak güvenli ve sorunsuz kullanıcı kimlik doğrulaması sağlarlar. - Yenileme belirteçleri, yeni erişim belirteçleri için kullanıcı müdahalesini ortadan kaldırır. - Erişim belirteçleri, korunan kaynaklara erişim yetkisi sağlar. - ID belirteçleri, istemcide önbellekte kullanıcı bilgisi sağlar, bu da performansı artırır. Bu belirteçlerin rolünü ve önemini anlamak, uygulamalarında OIDC kimlik doğrulamasını uygulayan geliştiriciler için hayati önem taşır. Logto'yu seçerek, geliştiriciler ve işletmeler, bu tür OIDC özelliklerinin tüm potansiyelini açabilir, kullanıcı verilerini koruyan ve sorunsuz bir kullanıcı deneyimi sağlayan sağlam ve güvenli kimlik doğrulama sistemlerini entegre edebilir. Logto'yu Bugün Dene