Taka@Authlete, BaaS for OAuth 2.0 & OpenID Connect
@darutk
Followers
2K
Following
1K
Media
170
Statuses
2K
Co-founder & Representative Director of Authlete (@authlete, @authlete_jp). Software developer since 1993. OAuth, OpenID Connect, FAPI, Verifiable Credentials
Japan
Joined October 2010
国内最大級ゲーム情報サイトのGame8、月間最大5億PV・4千万以上のユニークユーザという大規模システムで、OpenID Connectを使って攻略情報閲覧からゲーム内アイテム購入までの統合やアプリ横断決済などを実現しているらしい！ えっ、その実装にAuthleteを使っているの？！ #Authlete すごい！ #ステマ
#ゲームエイト さまに #Authlete をご採用いただきました！#game8 などのサービスの共通ID基盤において、#OpenID Connect（#OIDC）の実装にAuthleteを活用されています。専門性に基づく実装で堅牢性と運用効率を両立、開発効率を高めることができた、と評価いただきました。 https://t.co/XTaAiMnuZy
0
0
1
先日のAuthlete主催勉強会でのプレゼンテーション「MCPから考えるOAuth/OIDCの現状と展望」の録画と資料を公開しています。地味目な話かと思いますが、よろしければご覧くださいませ https://t.co/GVybrFXr71
先週開催した「#OAuth & #OpenID Connect 勉強会 ー #MCP と OAuth/#OIDC の相互作用」のアーカイブ動画とスライドを公開しました。ぜひ、下記リンクより、ご覧ください。ご参加いただいた皆さま、ありがとうございました！またのご参加をお待ちしております！ https://t.co/PzH4PMBhNf
0
2
13
ご要望にお応えして、本日（8/27）18:30より開催の「#OAuth & #OpenID Connect 勉強会ー #MCP とOAuth/ #OIDC の相互作用」へのご参加登録を17:00まで受け付けております。配信リンクは connpass のイベントページをご覧ください。皆さまのご参加をお待ちしております！ https://t.co/FlI9NMeSqU
authlete.connpass.com
# OAuth & OpenID Connect 勉強会とは OAuth と OpenID Connect (OIDC) に関する話題を幅広く扱う勉強会で��。また、あらゆるサービスの OAuth/OIDC 実装を最速で実現する API「Authlete」の活用方法・事例などを各回のテーマに合わせて紹介します。過去の勉強会アーカイブはこちらからご覧ください：https://www.authle...
0
2
6
新しい技術がどんどん出てきてキャッチアップするのしんどいなー。誰か、MCP+OAuthの現状とMCP/APIエージェントのユースケースをデモも交えて教えてくれないかなー。。。えっ、その主旨のオンライン勉強会がある！？ 明後日の8/27？ 急いで申し込まねば！ https://t.co/hZJZvGDiBs #ステマ #Authlete
authlete.connpass.com
# OAuth & OpenID Connect 勉強会とは OAuth と OpenID Connect (OIDC) に関する話題を幅広く扱う勉強会です。また、あらゆるサービスの OAuth/OIDC 実装を最速で実現する API「Authlete」の活用方法・事例などを各回のテーマに合わせて紹介します。過去の勉強会アーカイブはこちらからご覧ください：https://www.authle...
「OAuth & OpenID Connect 勉強会ー #MCP と #OAuth /#OIDC の相互作用」はいよいよ明後日8/27(水)、オンライン開催です！参加登録は明日8/26(火)の16:00までにお願いします。MCP認可の現状とMCPのOAuth認可サーバーの実装に興味のある方はぜひ、ご参加ください！ https://t.co/FlI9NMeSqU
#OpenID
0
5
19
I’ve published a new article: “Comprehensive API Protection with Standard Specifications.” It covers MTLS, DPoP, HTTP Message Signatures, RAR, Cedar, and more. #OAuth
https://t.co/KwFgwVZHLA
authlete.com
This article introduces how to fully leverage the standards developed since RFC 6749 to protect APIs.
0
1
7
『標準仕様による徹底的なAPI保護』という記事を公開しました。受信者限定、MTLS、DPoP、HTTPメッセージ署名、RAR、Cedarなど、API保護のための主要仕様群をまとめて紹介する記事となっています。 #OAuth
https://t.co/EHo9Pcu27x
authlete.com
RFC 6749 以降に開発された標準仕様をフル活用して API を保護する方法をご紹介します。
0
11
33
RFC 9700 Section 4.15.1 Countermeasuresがベストプラクティスなのではなくて、RFC 9068のsubの仕様に従わないことがベストプラクティス。仕様 (RFC 9068) でアタックサーフィスを埋め込んでおいて、「アタックに注意しろ」と言われてもな。
1
1
5
RFC 9068の取り決めにより、JWTアクセストークンのsubにリソースオーナーではなくクライアントの識別子が設定される場合があり、これが攻撃に利用されうるので注意、とRFC 9700 Section 4.15に書いてあるが、これはRFC 9068が悪い。仕様策定当時、この部分には反対したんだよ。言わんこっちゃない。
1
1
28
APIアクセス制御の複雑さと保守コスト増大を解消したAuthlete。OAuth準拠で開発を効率化し基盤を強化したフリー社のAuthlete活用事例をご紹介✨ #Authlete #findy_tools
https://t.co/GIheuDzxvC
findy-tools.io
フリー株式会社のAuthleteのレビューです。導入に至った背景や導入検討時の悩み、実際に導入してから感じたAuthleteのメリットと課題感を導入効果とともにレビューしていただきました。
0
2
5
RFC 9421 HTTP Message Signatures に詳しい人の絶対数が少なく、FAPI 2.0 Http Signatures の議論が進まないので、具体例を用いて論点を図にしてみた。これで分かってくれ〜 https://t.co/OQnUC6g791
0
0
8
Shared Signals Frameworkのエンドポイント群を、API保護関連の最新仕様群で守る試みが手元で動いている。「HTTP Message Signatureを検証するためのクライアント公開鍵をリソースサーバはどう取得するか」という問題は、FAPI ISSUE 740で提案している方法で解決している。 https://t.co/ZEMMHAoizj
0
1
8
HTTPレスポンス署名のSignature Baseに"signature";reqを含めると、IntermediariesがHTTPメッセージ署名を追加した場合 (HTTP 9421 Section 4.3)、クライアント側で再構築されたSignature Baseがリソースサーバが用いたものと異なるので署名検証に失敗するよね、というお話。 https://t.co/di1lUvAleI
0
0
6
FAPI 2.0の文脈ではMTLSまたはDPoPによりアクセストークンに必ずクライアント公開鍵が紐付いているので、「『HTTPリクエスト署名はその公開鍵に対応する秘密鍵で行う』と決めれば『クライアント公開鍵をリソースサーバはどう取得するか』という問題は解決する」というお話。 https://t.co/ZEMMHAoizj
0
3
18
Content-Digestヘッダに含まれるダイジェスト値の検証、Webアプリケーションサーバが勝手にやってくれるわけではないと知り、さくっと実装。このヘッダ、RFC 9421 (HTTPSig) で言及されているから昔からあると思いきや、公式定義は2024年2月公開のRFC 9530。比較的新しい。 https://t.co/GN2ucLAHc2
0
0
3
昨日のFindy ToolsさんのDeep Security Conferenceでお話しした資料を置いておきます。 https://t.co/fkjQjHJSlA
#Deep_Security_findytools
speakerdeck.com
2025/7/17 Findy Tools主催のDeep Security Conferenceで話した資料。 企業などの組織における従業員のID管理や認証強化がゼロトラストやフィッシング対策の文脈で注目されています。また、サプライチェーンなど組織を超えたデータ交換の安全性を確保することはビジネス…
0
8
28
We're excited to announce that Authlete 3.0 has become the first recipient of #OpenID Certifications for the #FAPI 2.0 Security Profile Final and Message Signing Final, as well as the Australia FAPI 2.0 ConnectID Final! Learn more: https://t.co/KK5yiGKRwl
#FAPI2
authlete.com
Authlete 3.0 has been awarded the first OpenID certifications for the FAPI 2.0 Security Profile Final and Message Signing Final.
0
2
7
Authlete は今年2月に最終化された「FAPI 2.0 Security Profile Final」への準拠を証明する「OpenID 認定」を世界で初めて取得しました！#FAPI2.0 は、高度なAPI セキュリティを実現し、相互運用性を強化します。詳細と #FAPI 実装の簡素化については、下記をご覧ください！ https://t.co/iBbCKnAW29
authlete.com
Authlete 3.0 は、API セキュリティの国際標準仕様である「FAPI 2.0 Security Profile Final（最終版）」と「FAPI 2.0 Message Signing Final（最終版）」への準拠を証明する OpenID 認定を世界で初めて取得しました。
1
8
12
JWT や OAuth について復習していたのだけど、Authlete さんのこの動画がやはり神 // OAuth & OIDC 入門編 by #authlete
0
1
17