Estructura de datos de la aplicación
Introducción
En Logto, una aplicación se refiere a un programa de software o servicio específico que está registrado en la plataforma Logto y ha sido autorizado para acceder a información del usuario o realizar acciones en nombre de un usuario. Las aplicaciones se utilizan para identificar la fuente de las solicitudes realizadas a la API de Logto, así como para gestionar el proceso de autenticación y autorización para los usuarios que acceden a esas aplicaciones.
El uso de aplicaciones en la experiencia de inicio de sesión de Logto permite a los usuarios acceder y gestionar fácilmente sus aplicaciones autorizadas desde un solo lugar, con un proceso de autenticación coherente y seguro. Esto ayuda a simplificar la experiencia del usuario y garantiza que solo las personas autorizadas accedan a información sensible o realicen acciones en nombre de la organización.
Las aplicaciones también se utilizan en los registros de auditoría de Logto para rastrear la actividad del usuario e identificar cualquier amenaza o violación de seguridad potencial. Al asociar acciones específicas con una aplicación en particular, Logto puede proporcionar información detallada sobre cómo se accede y utiliza la información, lo que permite a las organizaciones gestionar mejor sus requisitos de seguridad y cumplimiento. Si deseas integrar tu aplicación con Logto, consulta Integrar Logto.
Propiedades
ID de la aplicación
El ID de la aplicación es una clave única generada automáticamente para identificar tu aplicación en Logto, y se referencia como client id en OAuth 2.0.
Tipos de aplicación
Una aplicación puede ser uno de los siguientes tipos de aplicación:
- Aplicación nativa es una aplicación que se ejecuta en un entorno nativo. Por ejemplo, aplicación iOS, aplicación Android.
- Aplicación de una sola página es una aplicación que se ejecuta en un navegador web, que actualiza la página con los nuevos datos del servidor sin cargar páginas completas nuevas. Por ejemplo, aplicación React DOM, aplicación Vue.
- Aplicación web tradicional es una aplicación que renderiza y actualiza páginas solo por el servidor web. Por ejemplo, JSP, PHP.
- Aplicación máquina a máquina (M2M) es una aplicación que se ejecuta en un entorno de máquina para comunicación directa de servicio a servicio sin interacción del usuario.
Secreto de la aplicación
El secreto de la aplicación es una clave utilizada para autenticar la aplicación en el sistema de autenticación, específicamente para clientes privados (aplicaciones web tradicionales y M2M) como una barrera de seguridad privada.
Nombre de la aplicación
El nombre de la aplicación es un nombre legible por humanos de la aplicación y se mostrará en la consola de administración.
El nombre de la aplicación es un componente importante para gestionar aplicaciones en Logto, ya que permite a los administradores identificar y rastrear fácilmente la actividad de aplicaciones individuales dentro de la plataforma.
Es importante tener en cuenta que el nombre de la aplicación debe elegirse cuidadosamente, ya que será visible para todos los usuarios que tengan acceso a la consola de administración. Debe reflejar con precisión el propósito y la función de la aplicación, además de ser fácil de entender y reconocer.
Descripción
Una breve descripción de la aplicación se mostrará en la página de detalles de la aplicación de la consola de administración. La descripción está destinada a proporcionar a los administradores información adicional sobre la aplicación, como su propósito, funcionalidad y cualquier otro detalle relevante.
URIs de redirección
Los URIs de redirección son una lista de URIs de redirección válidos que han sido preconfigurados para una aplicación. Cuando un usuario inicia sesión en Logto e intenta acceder a la aplicación, se le redirige a uno de los URIs permitidos especificados en la configuración de la aplicación.
La lista de URIs permitidos se utiliza para validar el URI de redirección que se incluye en la solicitud de autorización enviada por la aplicación a Logto durante el proceso de autenticación. Si el URI de redirección especificado en la solicitud de autorización coincide con uno de los URIs permitidos en la configuración de la aplicación, el usuario es redirigido a ese URI después de una autenticación exitosa. Si el URI de redirección no está en la lista permitida, el usuario no será redirigido y el proceso de autenticación fallará.
Es importante asegurarse de que todos los URIs de redirección válidos se agreguen a la lista permitida para una aplicación en Logto, para garantizar que los usuarios puedan acceder exitosamente a la aplicación después de la autenticación.
Puedes consultar el Punto de redirección para obtener más información.
Comprendiendo los URIs de redirección en OIDC con el flujo de código de autorización
URIs de redirección después de cerrar sesión
Los URIs de redirección después de cerrar sesión son una lista de URIs válidos que han sido preconfigurados para una aplicación para redirigir al usuario después de que haya cerrado sesión en Logto.
El uso de URIs de redirección permitidos después de cerrar sesión para el cierre de sesión es parte de la especificación de cierre de sesión iniciado por el RP (Relying Party Initiated) en OIDC. Esta especificación proporciona un método estandarizado para que las aplicaciones inicien una solicitud de cierre de sesión para un usuario, que incluye redirigir al usuario a un punto final preconfigurado después de que haya cerrado sesión.
Cuando un usuario cierra sesión en Logto, su sesión se termina y se le redirige a uno de los URIs permitidos especificados en la configuración de la aplicación. Esto asegura que el usuario sea dirigido solo a puntos finales autorizados y válidos después de haber cerrado sesión, ayudando a prevenir el acceso no autorizado y los riesgos de seguridad asociados con redirigir a los usuarios a puntos finales desconocidos o no verificados.
Puedes consultar el Cierre de sesión iniciado por el RP para obtener más información.
Orígenes permitidos por CORS
Los orígenes permitidos por CORS (Cross-origin resource sharing) son una lista de orígenes permitidos desde los cuales una aplicación puede realizar solicitudes al servicio Logto. Cualquier origen que no esté incluido en la lista permitida no podrá realizar solicitudes al servicio Logto.
La lista de orígenes permitidos por CORS se utiliza para restringir el acceso al servicio Logto desde dominios no autorizados y para ayudar a prevenir ataques de falsificación de solicitudes entre sitios (CSRF). Al especificar los orígenes permitidos para una aplicación en Logto, el servicio puede garantizar que solo los dominios autorizados puedan realizar solicitudes al servicio.
La lista de orígenes permitidos debe contener el origen donde se servirá la aplicación. Esto asegura que las solicitudes de la aplicación sean permitidas, mientras que las solicitudes de orígenes no autorizados sean bloqueadas.
Punto de configuración del proveedor de OpenID
El punto final para OpenID Connect Discovery.
Punto de autorización
El Punto de autorización es un término de OIDC, y es un punto final requerido que se utiliza para iniciar el proceso de autenticación para un usuario. Cuando un usuario intenta acceder a un recurso o aplicación protegida que ha sido registrada en la plataforma Logto, será redirigido al Punto de autorización para autenticar su identidad y obtener autorización para acceder al recurso solicitado.
Puedes consultar el Punto de autorización para obtener más información.
Punto de token
El Punto de token es un término de OIDC, es un punto final de API web que se utiliza por un cliente OIDC para obtener un token de acceso, un token de ID o un token de actualización de un proveedor OIDC.
Cuando un cliente OIDC necesita obtener un token de acceso o un token de ID, envía una solicitud al Punto de token con un permiso de autorización, que generalmente es un código de autorización o un token de actualización. El Punto de token luego valida el permiso de autorización y emite un token de acceso o un token de ID al cliente si el permiso es válido.
Puedes consultar el Punto de token para obtener más información.
Punto de información del usuario
El Punto de información del usuario de OpenID Connect.
Emitir siempre token de actualización
Disponibilidad: Aplicaciones web tradicionales, SPA
Cuando está habilitado, Logto siempre emitirá tokens de actualización, independientemente de si prompt=consent está presente en la solicitud de autenticación, ni offline_access está presente en los alcances.
Sin embargo, esta práctica no se recomienda a menos que sea necesario (generalmente es útil para algunas integraciones de OAuth de terceros que requieren token de actualización), ya que no es compatible con OpenID Connect y puede causar problemas potencialmente.
Rotar token de actualización
Predeterminado: true
Cuando está habilitado, Logto emitirá un nuevo token de actualización para solicitudes de token bajo las siguientes condiciones:
- Si el token de actualización ha sido rotado (ha tenido su TTL prolongado emitiendo uno nuevo) durante un año; O
- Si el token de actualización está cerca de su tiempo de expiración (>=70% de su Tiempo de Vida (TTL) original pasado); O
- Si el cliente es un cliente público, por ejemplo, aplicación nativa o aplicación de una sola página (SPA).
Para clientes públicos, cuando esta función está habilitada, siempre se emitirá un nuevo token de actualización cuando el cliente esté intercambiando por un nuevo token de acceso usando el token de actualización. Aunque aún puedes desactivar la función para esos clientes públicos, se recomienda encarecidamente mantenerla habilitada por razones de seguridad.
Comprendiendo la rotación de tokens de actualización
Tiempo de vida (TTL) del token de actualización en días
Disponibilidad: No SPA; Predeterminado: 14 días
La duración durante la cual un token de actualización puede usarse para solicitar nuevos tokens de acceso antes de que expire y se vuelva inválido. Las solicitudes de token extenderán el TTL del token de actualización a este valor.
Típicamente, se prefiere un valor más bajo.
Nota: La actualización del TTL no está disponible en SPA (aplicación de una sola página) por razones de seguridad. Esto significa que Logto no extenderá el TTL a través de solicitudes de token. Para mejorar la experiencia del usuario, puedes habilitar la función "Rotar token de actualización", permitiendo que Logto emita un nuevo token de actualización cuando sea necesario.
URI de cierre de sesión por canal de fondo
El punto final de cierre de sesión por canal de fondo de OpenID Connect. Consulta Cierre de sesión federado: Cierre de sesión por canal de fondo para obtener más información.
Datos personalizados
Información adicional personalizada de la aplicación no listada en las propiedades predefinidas de la aplicación, los usuarios pueden definir sus propios campos de datos personalizados según sus necesidades específicas, como configuraciones y ajustes específicos del negocio.