Construir o comprar: el coste real de crear tu propia autenticación
Por El equipo de Alt Auth
Construir autenticación es realmente fácil, y justo ahí está la trampa. Un formulario, un hash, una sesión: el trabajo de una tarde, y funciona. La estimación no se equivoca sobre la pantalla de inicio de sesión. Se equivoca sobre los dos años que vienen después.
Lo que la estimación deja fuera
- Recuperación de contraseñas, verificación de email y todos los casos límite de ambos.
- Limitación de peticiones, política de bloqueo y el proceso de soporte para quienes se quedan fuera.
- Proveedores OAuth: cada uno con sus peculiaridades, y cada uno rompiéndose según su propio calendario.
- MFA, códigos de recuperación y soporte cuando se pierde un dispositivo.
- Registros de auditoría, porque un cliente lo preguntará, y «eso no lo guardamos» cierra la conversación.
- Revocación de sesiones, rotación de tokens y el incidente en el que necesitas ambas cosas a las 2 de la madrugada.
- Una revisión de seguridad a la que no puedes responder con «lo escribimos nosotros mismos».
Cuándo sigue siendo correcto construir
Si la autenticación es tu producto, constrúyela. Si tienes una restricción regulatoria que ningún proveedor puede cumplir, constrúyela. Si es un proyecto personal y lo importante es aprender, constrúyela. Son casos reales, y esto no es un argumento para que nadie escriba nunca código de autenticación.
“La cuestión no es si tu equipo puede construir autenticación. Es si mantenerla durante el tercer año es el mejor uso posible de ese equipo.”
Para todos los demás, el cálculo es poco sentimental. El plan gratuito cubre un proyecto personal; un plan de pago cuesta menos al mes que un día de trabajo de ingeniería, y la lista de arriba deja de ser tu problema.