> ## Documentation Index
> Fetch the complete documentation index at: https://developers.authlete.com/llms.txt
> Use this file to discover all available pages before exploring further.

> ## Agent Instructions
> ### Authlete versions
> Authlete 3.0 is the current version. Unless the user says they use another version, answer for Authlete 3.0 using the 3.x documentation.
> Documentation for Authlete 2.x (pages under `/v2/` and `/ja/v2/`) is for the legacy version. Refer to it only when the user is on Authlete 2.x.
>
> ### Authlete architecture
> Authlete is a backend engine for OAuth 2.0 and OpenID Connect processing. End users and client applications do not call it directly; the service provider's authorization server and API server call Authlete's APIs. Authlete handles protocol processing and token, client, and service management, while the service provider owns the OAuth/OIDC endpoints and user authentication.
> See [Architecture](https://developers.authlete.com/get-started/introduction-to-authlete/architecture.md).
>
> ### Concepts
> If the user is new to Authlete, read these pages first:
> - [Request and Response](https://developers.authlete.com/get-started/concepts/request-and-response.md): Core API requests pass the client's request parameters as-is, and responses return `resultCode`, `action`, and `responseContent`.
> - [Action Handling](https://developers.authlete.com/get-started/concepts/action-handling.md): Branch on `action`, never on `resultCode`, and map each action to the HTTP response your server returns.
> - [Two-Step API Calls](https://developers.authlete.com/get-started/concepts/two-step-api-calls.md): Actions such as `INTERACTION` are completed with a second call (`/auth/authorization/issue` or `/auth/authorization/fail`) linked by a `ticket`.
> - [Management API Overview](https://developers.authlete.com/get-started/concepts/overview.md): The Management API configures services, manages clients, and operates issued tokens, separately from the protocol flows handled by the Core API.
> - [API Authentication](https://developers.authlete.com/get-started/concepts/authentication.md): Authlete APIs use bearer tokens: a Service Access Token (one service) or an Organization Token (the whole organization).

# Authlete 3.0 2026年10月リリースノート

##### バージョン番号：3.0.39

# 概要

本リリースはAuthlete 3.0に対するマイナーアップデートです。\
2026年10月29日（木）以降利用可能になりました。

# 新機能と改善

## フルペイロードのサービスフラグ

`returnFullPayload`（デフォルト値：`true`）のサービスフラグが新しく追加されました。ユーザーが値を`false`に設定することにより、該当するエンドポイントから簡略化されたペイロードを受け取ることができます。

# 仕様サポート

なし

# バグ修正

## リフレッシュトークンのデッドロック修正

特定の条件下で、`access_token`テーブルに対するリフレッシュトークンリクエスト（`grant_type=refresh_token`）がデータベースのデッドロックを引き起こしてしまう不具合が修正されました。

## クライアントトークン有効期間の検証修正

クライアント更新エンドポイントにおいて、クライアントトークンの有効期間を検証する際に、作成エンドポイントと同じ下限値が使用されない不具合が修正されました。

## DN名のエラー修正

TLS証明書に含まれた無効なDN名が、`401`の代わりに`500`エラーを発生させてしまう不具合が修正されました。

## リクエストURIのNPE修正

クライアントの事前登録済みの`request_uri`の取得に失敗した場合、`invalid_request_uri`の認可エラーの代わりに`NullPointerException`が返されてしまう不具合が修正されました。

## グラント取り消しのレスポンス修正

グラントの取り消しの際に、対象にしたグラントが見つからなかった場合`404`の代わりに`NO_CONTENT (204)`レスポンスが返されてしまう不具合が修正されました。

* この204は取り消しの成功を示すレスポンスにも使われるため、実際に変更がなかったにも関わらず、呼び出し元に何等かの処理が行われたと誤解をさせてしまう可能性がありました

## アクセストークンのキャッシュ修正

グラントが取り消された後でも、キャッシュエントリが期限切れになるまでアクセストークンがイントロスペクションエンドポイントにおいてバリデーションを繰り返してしまう不具合が修正されました。

## リクエストの有効期限の上限修正

クライアントから指定される`requested_expiry`に上限がなかったため、`auth_req_id`に対して任意の有効期限を設定することができてしまう不具合が修正されました。

# その他

なし


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.