Amazon Cognito ora supporta la rotazione dei token di aggiornamento
Amazon Cognito integra il supporto per la rotazione dei token di aggiornamento OAuth 2.0 per i client del pool di utenti. I token di aggiornamento sono token di lunga durata che consentono alle applicazioni di ottenere nuovi token di accesso senza richiedere agli utenti di accedere nuovamente. Con la rotazione dei token di aggiornamento, ora è possibile configurare i client del tuo pool di utenti per sostituire automaticamente con frequenza regolare i token di aggiornamento esistenti con quelli nuovi; operazione che può rafforzare il livello di sicurezza dell'applicazione. Non affidandosi come in precedenza a token che rimangono validi per lunghi periodi di tempo, la rotazione del token di aggiornamento riduce la finestra in cui un token di aggiornamento compromesso potrebbe essere utilizzato. Inoltre, il token di aggiornamento ruota automaticamente in background consentendo agli utenti di mantenere un accesso ininterrotto senza dover ripetere l'autenticazione.
Senza questa nuova funzionalità, in precedenza i clienti dovevano scegliere tra token di lunga durata, che riducevano al minimo l'interruzione dell'esperienza utente causata dalla necessità di rieffettuare l'autenticazione, o token di breve durata, che offrivano una migliore protezione dai rischi derivanti da eventuali token compromessi. Ora, grazie alla miglioria implementata, i clienti possono ottenere sia un'esperienza utente fluida che un buon livello di sicurezza delle applicazioni, aggiornando automaticamente i token di aggiornamento dell'utente. Ad esempio, in un'app di collaborazione, mentre gli utenti rimangono connessi per la loro sessione di 30 giorni, i loro token di aggiornamento possono venire aggiornati con nuovi token di accesso e ID ogni poche ore dopo un'interazione, limitando così la finestra di esposizione dei singoli token.
Questa funzionalità è disponibile per i clienti di Amazon Cognito che utilizzano i livelli Essentials o Plus nelle regioni AWS in cui viene fornito Cognito, incluse le regioni AWS GovCloud (Stati Uniti). Per saperne di più, consulta laguida per sviluppatori dei token di aggiornamento di Cognito.