보안 검증
인증된 사용자가 비밀번호 변경, 결제, 급여 명세서나 은행 계좌 정보와 같은 민감한 정보 접근 등 민감하거나 고위험 작업을 시도할 때는 추가적인 보안 조치가 필수적입니다. 이 흐름은 특히 은행, 의료, 정부 서비스와 같은 민감한 애플리케이션에서 매우 중요합니다.
이 과정을 보안 검증이라고 하며, 사용자가 본인이 권한이 있는 계정 소유자임을 다시 한 번 확인하도록 요구합니다. 보안 검증을 구현함으로써 시스템은 무단 접근으로부터 보호를 강화하고, 고위험 작업에 중요한 보안 계층을 추가하여 민감한 데이터를 안전하게 보호할 수 있습니다.
자체 애플리케이션 및 보호된 API 리소스에 대해 최근 인증 또는 MFA를 강제하거나, 표준 토큰을 사용하여 민감한 Account API 호출을 인가하려면 OIDC 단계별 인증 (acr_values, max_age, RFC 9470 챌린지)를 사용하세요.
아래의 Verification API는 1차 애플리케이션이 Account API를 logto-verification-id 헤더와 함께 직접 호출할 때, 또는 계정에 새로운 이메일 주소나 전화번호를 바인딩하기 전에 소유권을 증명해야 할 때 사용하세요.
Account API로 보안 검증 구현하기
먼저 Account API 활성화를 잊지 말고, 사용자의 액세스 토큰 (access_token)을 획득하세요.
비밀번호 검증
사용자가 직접 Account API 통합을 통해 비밀번호나 기타 보안 설정을 변경하려고 할 때, 현재 비밀번호를 입력하도록 안내하여 logto-verification-id 헤더에 사용할 10분간 유효한 verificationRecordId를 획득하세요.
| method | path | description |
|---|---|---|
| POST | /api/verifications/password | 현재 사용자 비밀번호 검증. |
이메일/SMS 일회용 코드 검증
사용자의 이메일 또는 전화번호로 인증 코드를 전송하고, 사용자가 해당 코드를 입력하여 본인임을 확인하도록 안내하세요. 이 엔드포인트는 사용자의 아이덴티티를 검증하거나 특정 이메일 또는 전화번호의 소유권을 확인하는 데 사용할 수 있습니다. 특히 사용자가 계정에 새로운 이메일 주소나 전화번호를 연결하려고 할 때 이 검증 단계는 정보의 진위성을 보장하기 위해 적극 권장됩니다.
| method | path | description |
|---|---|---|
| POST | /api/verifications/verification-code | 이메일 또는 전화번호 인증 코드 전송. |
| POST | /api/verifications/verification-code/verify | 인증 코드로 이메일 또는 전화번호 검증. |