分层安全。验证的实践。
Logto 通过严格的密码策略、验证码、锁定、仅邀请注册和签名密钥轮换来保护你的应用程序——这一切都已内置。
你无需思考的安全
Logto 将企业级安全融入身份基础设施的每一层——这样你就可以保护用户、降低风险，并专注于构建你的产品。
保护你的身份基础设施
内部处理认证会增加曝光度。像 Logto 这样的安全身份提供商会将敏感数据与应用逻辑分离，降低风险并确保更安全的用户认证。
简化的访问管理
Logto 提供必备的保护措施，如验证码、标识符锁定、CSRF 保护和 DoS 防护——从各个角度保护你的应用程序。
安全最佳实践
Logto 自动应用现代安全标准，如强密码策略、密钥轮换、用户暂停和 OIDC 后信道注销——这样你不必手动设置或担心遗漏任何内容。
适应你的安全
Logto 提供多种可定制的安全功能——让你可以根据应用程序的具体要求量身定制保护措施。
验证码
在你的登录流程中添加验证码，如 Google reCAPTCHA Enterprise 或 Cloudflare Turnstile，以阻止自动机器人攻击并阻挡恶意流量。适用于多种场景：
- 登录
- 注册
- 忘记密码
可配置的密码策略
遵循 NIST 密码指南并自定义密码策略以匹配你首选的安全级别。
标识符锁定
在多次失败的登录尝试后暂时锁定标识符，以阻止暴力攻击并保护用户账户。
仅限邀请注册
仅允许被邀请的用户注册，使用安全的电子邮件魔术链接。这一特性由 Logto 的一次性令牌功能支持，确保安全和可控的用户引导——非常适合等待列表或敏感平台。
暂停用户
暂时禁用用户账户以阻止访问，而无需删除数据或用户记录。
所有计划均提供的核心安全功能
安全性是 Logto 的基础——不仅限于高级功能，核心保护默认内置并适用于所有用户，无论规模大小。
签名密钥轮换
Logto 通过可配置的 EC 或 RSA 密钥保护 JWT 和 Cookie，并通过 CLI、API 或控制台轻松实现密钥轮换——确保持续的保护并与传统系统兼容。
OIDC 后信道注销
启用集中注销以防止会话劫持和未经授权的访问。通过 OIDC 后信道注销，Logto 确保所有连接的应用在用户注销时一起退出。
CSRF 保护
使用 Logto 内置的安全措施保护免受 CSRF 攻击，包括 OIDC 状态检查、PKCE、CORS 执行和安全的 Cookie 处理——确保只有可信请求可以启动认证流程。
DoS 保护
使用 Cloudflare、Azure 防火墙、速率限制以及 Logto 的可扩展基础设施防御泛洪和应用层攻击——所有这些都旨在使你的身份系统在压力下保持弹性。