Logto adotta l'autenticazione basata su token seguendo gli standard OAuth 2.0 e OpenID Connect. Ogni richiesta di autenticazione o autorizzazione porta Logto a emettere token che rappresentano lo stato di autenticazione o autorizzazione dell'utente, come i token di accesso, i token ID e i token di aggiornamento.

Per fini di fatturazione, si contano solo i token di accesso (sono esclusi i token ID e i token di aggiornamento).

Un token di accesso è emesso e conteggiato nei seguenti scenari:

Accesso utente: Dopo che un utente ha effettuato correttamente l'accesso, viene emesso un token di accesso opaco. Questo token può essere utilizzato per chiamare l'endpoint UserInfo o l'API Logto Account per la gestione dell'account.

Autorizzazione API di backend (RBAC): Quando il Controllo di Accesso Basato sui Ruoli (RBAC) è abilitato per proteggere le tue API di backend, viene emesso un token di accesso JWT per ciascuna richiesta di autorizzazione specifica delle risorse in seguito all'autenticazione iniziale dell'utente.

Autorizzazione dell'organizzazione: Se la funzione organizzazione è abilitata, Logto fornisce un controllo di accesso a livello di organizzazione emettendo token di accesso dell'organizzazione. Viene generato un token di accesso dell'organizzazione separato per ciascuna richiesta di autorizzazione specifica dell'organizzazione.

Autorizzazione Machine-to-Machine (M2M): Un token di accesso è emesso per ciascuna richiesta di autorizzazione client_credentials (ad es., quando si accede all'API di gestione Logto).

Scambio di token: Un nuovo token di accesso è emesso durante gli scambi di token di accesso personale o gli scambi di token di impersonificazione utente.

Utilizzo del token di aggiornamento: Se offline_access è abilitato, un nuovo token di accesso è emesso ogni volta che un token di aggiornamento valido è scambiato dopo che il token precedente è scaduto.

Token vs. MAU e perché la fatturazione basata su token è migliore

La fatturazione basata su MAU addebita per utente unico al mese, indipendentemente dall'attività. La fatturazione basata su token addebita invece in base all'utilizzo effettivo: ogni volta che viene emesso un token di accesso.

La fatturazione basata su token rappresenta una vera tariffazione "pay-as-you-go". A differenza dei modelli basati su MAU che addebitano per l'intero mese indipendentemente dall'utilizzo, paghi solo per le effettive attività di autenticazione e autorizzazione. Questo approccio è economico per gli utenti a bassa frequenza che accedono al tuo prodotto solo occasionalmente, poiché generano meno token, risultando in costi inferiori rispetto alla tariffa fissa basata su MAU. Questo rende Logto più conveniente rispetto ai concorrenti, specialmente per le applicazioni con modelli di coinvolgimento variabili.

Ad esempio, un accesso può consumare un token di accesso. L'utilizzo di funzioni come M2M o Organizzazioni può generare token aggiuntivi. Per tener traccia, Logto fornisce un monitoraggio in tempo reale dell'utilizzo dei token in Console > Dashboard, che ti aiuta a comprendere meglio il rapporto tra MAU e token per il tuo progetto specifico.