Selbst bauen oder kaufen: die echten Kosten einer eigenen Authentifizierung
Von Das Alt-Auth-Team
Authentifizierung zu bauen ist tatsächlich leicht, und genau darin liegt die Falle. Ein Formular, ein Hash, eine Session — ein Nachmittag Arbeit, und es funktioniert. Die Schätzung liegt bei der Anmeldeseite nicht falsch. Sie liegt bei den zwei Jahren, die danach kommen.
Was die Schätzung auslässt
- Passwortwiederherstellung, E-Mail-Bestätigung und jeder Grenzfall in beiden.
- Ratenbegrenzung, Sperrrichtlinie und der Supportprozess für Menschen, die ausgesperrt sind.
- OAuth-Anbieter — jeder mit eigenen Eigenheiten, und jeder bricht nach seinem eigenen Zeitplan.
- MFA, Wiederherstellungscodes und Support bei verlorenen Geräten.
- Audit-Logs, denn ein Kunde wird danach fragen, und »das speichern wir nicht« beendet das Gespräch.
- Session-Widerruf, Token-Rotation und der Vorfall, bei dem Sie um 2 Uhr nachts beides brauchen.
- Eine Sicherheitsprüfung, auf die Sie nicht mit »wir haben das selbst geschrieben« antworten können.
Wann Selbstbau trotzdem richtig ist
Wenn Authentifizierung Ihr Produkt ist, bauen Sie sie. Wenn es eine regulatorische Vorgabe gibt, die kein Anbieter erfüllen kann, bauen Sie sie. Wenn es ein Hobbyprojekt ist und das Lernen der Zweck ist, bauen Sie sie. Das sind echte Fälle, und dies ist kein Argument dafür, dass niemand jemals Authentifizierungscode schreiben sollte.
“Die Frage ist nicht, ob Ihr Team Authentifizierung bauen kann. Die Frage ist, ob das dritte Jahr ihrer Pflege die beste verfügbare Nutzung dieses Teams ist.”
Für alle anderen ist die Rechnung nüchtern. Der kostenlose Tarif deckt ein Nebenprojekt ab; ein kostenpflichtiger Tarif kostet im Monat weniger als ein Tag Entwicklungszeit, und die Liste oben hört auf, Ihr Problem zu sein.