認証
AccountMaker（以下「AM」）は認証情報の検証、パスワードハッシュ化、マジックリンク送信を処理するため、アプリ固有のロジックに集中できます。
利用者に合わせて方式を選べます。エンタープライズには従来のパスワード、コンシューマーアプリにはマジックリンクが適しています。
認証方式
Email + Password
認証情報は PBKDF2 でハッシュ化されます。ユーザーはメールアドレスとパスワードで登録し、同じ資格情報で認証します。
User ──▶ Email + Password ──▶ PBKDF2 Verify ──▶ Issue TokensMagic Links
ワンタイムのメールリンクによるパスワードレス認証です。ユーザーはリンクをクリックして認証します。
Password Reset
認証情報を忘れた場合の安全な復旧フローです。
- ユーザーが
/auth/send-password-resetでリセットを要求 - 有効期限付きトークンを検証済みメールアドレスへ送信
- ユーザーが
/auth/reset-passwordで新しいパスワードを設定
トークン有効期間
| Token | Default | Purpose |
|---|---|---|
| Access Token | 1 hour | API 認可 |
| Refresh Token | 14 days | 新しい Access Token を取得 |
| CSRF Token | Session | クロスサイト攻撃の防止 |
有効期間は Client ごとに設定可能です。
セキュリティ
- PBKDF2 Hashing: 業界標準のパスワード保存方式
- Rate Limiting: 総当たり攻撃を防止
- CSRF Protection: 状態変更リクエストで必須
- Secure Cookies: HttpOnly / Secure / SameSite をサポート