Logto는 OAuth 2.0 및 OpenID Connect 표준에 따라 토큰 기반의 인증을 채택합니다. 각 인증 또는 인가 요청은 사용자의 인증 또는 인가 상태를 나타내는 토큰을 발행하는데, 예를 들어 액세스 토큰, ID 토큰, 리프레시 토큰 등이 있습니다.

과금 목적으로는 오직 액세스 토큰만 카운트되며 (ID 토큰과 리프레시 토큰은 제외됩니다).

액세스 토큰이 발급되고 카운트되는 시나리오:

사용자 로그인: 사용자가 성공적으로 로그인한 후 불투명한 액세스 토큰이 발급됩니다. 이 토큰을 사용하여 UserInfo 엔드포인트 또는 Logto 계정 API를 호출하여 계정 관리를 수행할 수 있습니다.

백엔드 API 인가 (RBAC): 사용자 기반 접근 제어 (RBAC)가 활성화된 경우, 액세스 토큰이 각 리소스 특정 인가 요청에 대해 사용자 초기 인증 이후 발급됩니다.

조직 인가: 조직 기능이 활성화된 경우, Logto는 조직 수준의 접근 제어를 제공하기 위해 조직 액세스 토큰을 발급합니다. 각 조직별 인가 요청에 대해 별도의 조직 액세스 토큰이 생성됩니다.

기계 대 기계 (M2M) 인가: 각 client_credentials 인가 요청 (예: Logto Management API 접근 시)에 대해 액세스 토큰이 발급됩니다.

토큰 교환: 개인 액세스 토큰 교환 또는 사용자 가장 토큰 교환 중 새로운 액세스 토큰이 발급됩니다.

리프레시 토큰 사용: offline_access가 활성화된 경우, 유효한 리프레시 토큰이 이전 토큰 만료 후 교환될 때마다 새로운 액세스 토큰이 발급됩니다.

토큰 vs. MAU 및 토큰 기반 과금의 장점

MAU 기반 과금은 월별 고유 사용자 수에 따라 과금하며 활동 여부와 상관없습니다. 반면에 토큰 기반 과금은 실제 사용량에 따라 과금합니다: 액세스 토큰이 발급될 때마다 비용이 발생합니다.

토큰 기반 과금은 진정한 사용량 기반 가격 정책을 제공합니다. MAU 기반 모델은 사용량과 상관없이 월별로 가격을 책정하지만, 토큰 기반 과금은 실제 인증 및 인가 활동에 대해서만 비용이 발생하므로 사용 빈도가 적은 사용자에게도 친화적인 예산을 제공합니다. 이는 다양한 참여 패턴을 가진 애플리케이션에서 Logto를 더욱 경제적으로 만들어줍니다.

예를 들어, 한 번의 로그인에는 1개의 액세스 토큰이 소비됩니다. M2M 혹은 조직 기능을 사용하면 추가적인 토큰이 생성될 수 있습니다. 이 상황을 추적하기 위해, Logto는 콘솔 > 대시보드에서 실시간 토큰 사용량 모니터링을 제공하여 특정 프로젝트의 MAU와 토큰 간의 관계를 더 잘 이해할 수 있게 도와줍니다.