8 Ocak 2026 (PST) kimlik doğrulama olayı için sonrası analizi.
Tarih: 8 Ocak 2026 (PST)
Süre: ~60 dakika
Etkisi: bazı üretim kiracıları oturum açma ve token doğrulama hataları yaşadı; Konsol oturum açma da etkilenebilirdi
Dönen bir imzalama anahtarı ile *.logto.io alan adımızdaki önbelleğe alınmış JWKS arasındaki uyuşmazlık, token doğrulama hatalarına yol açtı. JWKS önbelleğini temizleyip hizmeti geri yüklemek için önceki imzalama anahtarına döndük.
Bazı kullanıcılar tarayıcı önbelleği nedeniyle hala Konsol oturum açma sorunları görebilir. Yaşanan kesinti için özür dileriz.
Olay penceresi boyunca bazı kullanıcılar oturum açamadı ve bazı token doğrulama işlemleri başarısız oldu. Bu durum, birden fazla üretim kiracısını etkiledi ve Logto Konsoluna erişimi de engelleyebilirdi.
Bu olayla ilgili yetkisiz erişim olduğuna dair herhangi bir kanıt görmedik; etki yalnızca kimlik doğrulama hatalarıyla sınırlıydı.
Hala Logto Konsoluna giriş yapamıyorsan lütfen şunları dene:
*.logto.app) JWKS önbellekleme ayarlarını güncelledik. JWKS önbellekleme, hatalı bir şekilde Bulut alanımızda (*.logto.io) hala etkin durumdaydı.*.logto.io için JWKS yanıtları önbelleğe alındığı için, bazı istemciler eski bir JWKS'i kullanmaya devam etti ve yeni verilen token'ları doğrulayamadı.*.logto.io için JWKS önbelleğini temizleyip önceki imzalama anahtarına döndük, ardından istemciler geri alınan anahtar kümesini alsın diye JWKS önbelleğini tekrar temizledik.Anahtar döndürme sadece bir anahtar yönetimi görevi değildir. Bu, yayıncılar ve doğrulayıcılar arasındaki önbellekleme davranışını da göz önünde bulundurması gereken uçtan uca bir uyumluluk değişikliğidir. Alanlar arasında (*.logto.app ve *.logto.io) yapılandırma farklılığı gerçek bir risktir. Bir alan için güvenli olan değişiklikler, diğerinde tutarlı şekilde uygulanmazsa bozulmalara yol açabilir.
Mevcut entegrasyon testlerimiz, üretim benzeri JWKS önbellekleme davranışını kapsamıyordu, bu nedenle bu hata durumu döndürmeden önce test edilmedi.
Şu adımları uyguluyoruz: