分层安全。验证的实践。
Logto 通过严格的密码策略、验证码、锁定、仅邀请注册和签名密钥轮换来保护你的应用程序——这一切都已内置。
你 无需思考的安全
Logto 将企业级安全融入身份基础设施的每一层——这样你就可以保护用户、降低风险，并专注于构建你的产品。
保护你的身份基础设施
内部处理认证会增加曝光度。像 Logto 这样的安全身份提供商会将敏感数据与应用逻辑分离，降低风险并确保更安全的用户认证。
简化的访问管理
Logto 提供必备的保护措施，如验证码、标识符锁定、CSRF 保护和 DoS 防护——从各个角度保护你的应用程序。
安全最佳实践
Logto 自动应用现代安全标准，如强密码策略、密钥轮换、用户暂停和 OIDC 后信道注销——这样你不必手动设置或担心遗漏任何内容。
适应你的安全性
Logto 提供多种可定制的安全功能，让你可以根据应用的具体要求量身定制保护措施。
CAPTCHA
在你的登录流程中添加 CAPTCHA，比如 Google reCAPTCHA Enterprise 或 Cloudflare Turnstile，以阻止自动化机器人攻击并拦截恶意流量。适用于多种场景：
- 登录
- 注册
- 忘记密码
可配置的密码策略
遵循 NIST 密码指南，并根据你偏好的安全级别自定义密码策略。
标识符锁定
在多次登录失败后暂时锁定标识符，以阻止暴力攻击并保护用户账户。
电子邮件黑名单
通过阻止一次性电子邮件、子地址或不需要的电子邮件域或地址来控制你的用户群。
仅限邀请注册
使用安全的电子邮件魔法链接限制只有被邀请的用户才能注册。借助 Logto 的一次性令牌功能，这确保了安全和受控的入职流程——非常适合候补名单或敏感平台。
暂停用户
暂时禁用用户账户以阻止访问，而不删除数据或用户记录。
所有计划均提供的核心安全功能
安全性是 Logto 的基础——不仅限于高级功能，核心保护默认内置并适用于所有用户，无论规模大小。
签名密钥轮换
Logto 通过可配置的 EC 或 RSA 密钥保护 JWT 和 Cookie，并通过 CLI、API 或控制台轻松实现密钥轮换——确保持续的保护并与传统系统兼容。
OIDC 后信道注销
启用集中注销以防止会话劫持和未经授权的访问。通过 OIDC 后信道注销，Logto 确保所有连接的应用在用户注销时一起退出。
CSRF 保护
使用 Logto 内置的安全措施保护免受 CSRF 攻击，包括 OIDC 状态检查、PKCE、CORS 执行和安全的 Cookie 处理——确保只有可信请求可以启动认证流程。
DoS 保护
使用 Cloudflare、Azure 防火墙、速率限制以及 Logto 的可扩展基础设施防御泛洪和应用层攻击——所有这些都旨在使你的身份系统在压力下保持弹性。