Verificação de segurança
Quando usuários autenticados tentam realizar ações sensíveis ou de alto risco—como alterar sua senha, efetuar um pagamento ou acessar informações confidenciais como contracheques ou detalhes de contas bancárias—medidas de segurança adicionais são essenciais. Esse fluxo é especialmente crítico em aplicações sensíveis como bancos, saúde e serviços governamentais.
Esse processo, conhecido como verificação de segurança, exige que os usuários revalidem sua identidade para confirmar que são os titulares autorizados da conta. Ao implementar a verificação de segurança, o sistema reforça a proteção contra acessos não autorizados, adicionando uma camada crítica de segurança para ações de alto risco e ajudando a proteger dados sensíveis.
Para exigir autenticação recente ou MFA para suas próprias aplicações e recursos de API protegidos—ou para autorizar chamadas sensíveis da Account API usando tokens padrão—utilize a autenticação step-up OIDC (acr_values, max_age e desafios RFC 9470).
Use a Verification API abaixo quando sua aplicação de primeira parte chamar a Account API diretamente com um cabeçalho logto-verification-id, ou quando precisar comprovar a posse de um novo endereço de e-mail ou número de telefone antes de vinculá-lo à conta.
Implementar verificação de segurança pela Account API
Lembre-se de habilitar a Account API primeiro e obter o access_token para o usuário.
Verificação de senha
Quando os usuários tentam alterar sua senha ou outra configuração de segurança por meio de uma integração direta com a Account API, solicite que insiram sua senha atual para obter um verificationRecordId válido por 10 minutos para o cabeçalho logto-verification-id.
| method | path | description |
|---|---|---|
| POST | /api/verifications/password | Verificar a senha atual do usuário. |
Verificação por código único de e-mail/SMS
Envie um código de verificação para o e-mail ou número de telefone do usuário e solicite que ele insira o código para confirmar sua identidade. Esses endpoints podem ser usados para verificar a identidade de um usuário ou para confirmar a posse de um e-mail ou número de telefone específico. Essa etapa de verificação é altamente recomendada quando um usuário tenta vincular um novo endereço de e-mail ou número de telefone à sua conta, garantindo a autenticidade das informações fornecidas.
| method | path | description |
|---|---|---|
| POST | /api/verifications/verification-code | Enviar código de verificação por e-mail ou telefone. |
| POST | /api/verifications/verification-code/verify | Verificar e-mail ou telefone pelo código de verificação. |