Construire ou acheter : le coût réel d’une authentification maison
Par L’équipe Alt Auth
Construire une authentification est réellement facile, et c’est justement le piège. Un formulaire, un hash, une session : le travail d’un après-midi, et ça fonctionne. L’estimation n’a pas tort sur l’écran de connexion. Elle a tort sur les deux années qui le suivent.
Ce que l’estimation oublie
- La récupération de mot de passe, la vérification d’e-mail et tous les cas limites des deux.
- La limitation de débit, la politique de verrouillage et le processus de support pour les personnes bloquées.
- Les fournisseurs OAuth — chacun avec ses particularités, et chacun qui casse à son propre rythme.
- La MFA, les codes de secours et l’assistance en cas de perte d’appareil.
- Les journaux d’audit, car un client finira par les demander, et « nous ne les conservons pas » clôt la discussion.
- La révocation des sessions, la rotation des jetons et l’incident où vous avez besoin des deux à 2 heures du matin.
- Une revue de sécurité à laquelle vous ne pouvez pas répondre par « nous l’avons écrit nous-mêmes ».
Quand construire reste la bonne option
Si l’authentification est votre produit, construisez-la. Si vous avez une contrainte réglementaire qu’aucun fournisseur ne peut satisfaire, construisez-la. Si c’est un projet personnel et que l’apprentissage est l’objectif, construisez-la. Ce sont des cas réels, et il ne s’agit pas de dire que personne ne devrait jamais écrire de code d’authentification.
“La question n’est pas de savoir si votre équipe peut construire une authentification. Il s’agit de savoir si la troisième année de maintenance est le meilleur usage possible de cette équipe.”
Pour tous les autres, le calcul est peu sentimental. L’offre gratuite couvre un projet personnel ; une offre payante coûte moins par mois qu’une journée d’ingénierie, et la liste ci-dessus cesse d’être votre problème.