Passwort-Richtlinie

Logto wendet die Passwort-Richtlinie auf unterschiedliche Weise an, je nachdem, wie das Passwort erstellt oder aktualisiert wird:

• Endbenutzer-Flows wie die sofort einsatzbereite Anmeldeerfahrung, die Experience API und die Account API erzwingen immer die aktuelle Passwort-Richtlinie.
• Administratoraktionen über die Management API patch /api/users/{userId}/password sind ausgenommen, sodass du Anmeldedaten bereitstellen oder zurücksetzen kannst, ohne die Richtlinie zu überprüfen, wenn dies erforderlich ist.
• Um bestehende Passwörter anhand der aktuellen Regeln zu prüfen, rufe POST /api/sign-in-exp/default/check-password auf und handle entsprechend dem zurückgegebenen Validierungsergebnis. Lies Passwort-Konformitätsprüfung, um mehr zu erfahren.

Passwort-Richtlinie einrichten

Für neue Benutzer oder Benutzer, die ihr Passwort aktualisieren, kannst du eine Passwort-Richtlinie festlegen, um Anforderungen an die Passwortstärke durchzusetzen. Besuche Konsole > Sicherheit > Passwort-Richtlinie, um die Einstellungen für die Passwort-Richtlinie zu konfigurieren.

1. Minimale Passwortlänge: Lege die Mindestanzahl an Zeichen für das Passwort fest. (NIST empfiehlt mindestens 8 Zeichen)
2. Minimale erforderliche Zeichentypen: Lege die Mindestanzahl an Zeichentypen fest, die das Passwort enthalten muss. Die verfügbaren Zeichentypen sind:
   1. Großbuchstaben: (A-Z)
   2. Kleinbuchstaben: (a-z)
   3. Zahlen: (0-9)
   4. Sonderzeichen: (!"#$%&'()\*+,-./:;<>=?@[]^\_`|{}~ )
3. Überprüfung auf Datenpannen: Aktiviere diese Einstellung, um Passwörter abzulehnen, die bereits in Datenpannen offengelegt wurden. (Bereitgestellt von Have I Been Pwned)
4. Wiederholungsprüfung: Aktiviere diese Einstellung, um Passwörter abzulehnen, die wiederholende Zeichen enthalten. (z. B. "11111111" oder "password123")
5. Benutzerinformationsprüfung: Aktiviere diese Einstellung, um Passwörter abzulehnen, die Benutzerinformationen wie Benutzernamen, E-Mail-Adresse oder Telefonnummer enthalten.
6. Benutzerdefinierte Wörter: Gib eine Liste benutzerdefinierter Wörter (Groß-/Kleinschreibung wird ignoriert) an, die du im Passwort ablehnen möchtest.

Passwort-Konformitätsprüfung

Nachdem du die Passwort-Richtlinie in Logto aktualisiert hast, können sich bestehende Benutzer weiterhin mit ihren aktuellen Passwörtern anmelden. Nur neu erstellte Konten müssen die aktualisierte Richtlinie befolgen.

Um eine stärkere Sicherheit durchzusetzen, kannst du die POST /api/sign-in-exp/default/check-password API verwenden, um zu prüfen, ob das Passwort eines Benutzers der aktuellen Richtlinie in der Standard-Anmeldeerfahrung entspricht. Falls nicht, kannst du den Benutzer mit einem benutzerdefinierten Ablauf über die Account API auffordern, sein Passwort zu aktualisieren.

Verwandte Ressourcen

Benutzer verwalten Registrierung und Anmeldung Kontoeinstellungen per Account API

Gestalte deine Passwort-Richtlinie