繁體中文（香港）
事後分析：由於 JWKS 緩存與簽名金鑰輪換導致的認證失敗
2026 年 1 月 8 日 (PST) 認證事件的事後分析。
Gao
Founder
Founder
Stop wasting weeks on user auth
Launch secure apps faster with Logto. Integrate user auth in minutes, and focus on your core product.
Get started
2026 年 1 月 8 日 (PST) 認證事件的事後分析。
**日期：**2026 年 1 月 8 日 (PST)
**持續時間：**約 60 分鐘
**影響：**部分生產租戶出現登入和 Token 驗證失敗；Console 登入可能受影響
由於我們 *.logto.io 網域的 JWKS 緩存和輪換簽名金鑰不一致，導致 Token 驗證失敗。我們清除了 JWKS 緩存，並將簽名金鑰恢復到先前版本，服務因此得以恢復。
部分用戶可能因為瀏覽器緩存而仍然遇到 Console 登入問題。對於造成的不便，我們感到十分抱歉。
在事件期間，部分用戶無法登入且部分 Token 驗證失敗。這影響到多個生產租戶，同時也可能阻止進入 Logto Console。
我們沒有發現與本事件相關的未經授權訪問；影響僅限於認證失敗。
如果你仍然無法登入 Logto Console，請嘗試：
*.logto.app）更新了 JWKS 緩存設置。但 JWKS 緩存意外仍啟用於雲端網域（*.logto.io）。*.logto.io 的 JWKS 回應被緩存，部分客戶端繼續使用過期的 JWKS，導致無法驗證新簽發的 Token。*.logto.io 清除了 JWKS 緩存，將簽名金鑰恢復至先前版本，再次清除 JWKS 緩存，確保所有客戶端都獲取到還原後的金鑰組。金鑰輪換不只是金鑰管理任務，而是需要涵蓋從發行方到驗證方，整個流程的相容性調整，要考慮緩存之間的行為。跨網域（如 *.logto.app vs *.logto.io）的組態漂移是潛在風險。只對部分網域安全的變更，若未能一致套用於所有網域，便可能導致系統故障。
我們現有的整合測試並未涵蓋類似生產環境的 JWKS 緩存行為，因此在金鑰輪換前未能測到本次失敗模式。
我們會實施：