Zbudować czy kupić: prawdziwy koszt własnego uwierzytelniania
Autor: Zespół Alt Auth
Zbudowanie uwierzytelniania jest naprawdę łatwe i właśnie w tym pułapka. Formularz, hasz, sesja — praca na popołudnie, i działa. Szacunek nie myli się co do ekranu logowania. Myli się co do dwóch lat, które po nim następują.
Czego nie uwzględnia szacunek
- Odzyskiwanie hasła, weryfikacja e-maili i każdy przypadek brzegowy w obu.
- Ograniczanie liczby żądań, polityka blokad i proces wsparcia dla osób, które utknęły poza kontem.
- Dostawcy OAuth — każdy z własnymi dziwactwami, a każdy psuje się według własnego harmonogramu.
- MFA, kody zapasowe i wsparcie przy zgubionym urządzeniu.
- Logi audytu, bo klient o nie zapyta, a „tego nie przechowujemy” kończy rozmowę.
- Unieważnianie sesji, rotacja tokenów i incydent, w którym o drugiej w nocy potrzebujesz obu.
- Przegląd bezpieczeństwa, na który nie odpowiesz: „sami to napisaliśmy”.
Kiedy budowanie wciąż jest właściwe
Jeśli uwierzytelnianie jest Twoim produktem, zbuduj je. Jeśli masz ograniczenie regulacyjne, którego żaden dostawca nie spełni, zbuduj je. Jeśli to projekt hobbystyczny, a celem jest nauka, zbuduj je. To realne przypadki i nie jest to argument, że nikt nigdy nie powinien pisać kodu uwierzytelniania.
“Pytanie nie brzmi, czy Twój zespół potrafi zbudować uwierzytelnianie. Pytanie brzmi, czy utrzymywanie go w trzecim roku to najlepsze możliwe wykorzystanie tego zespołu.”
Dla wszystkich pozostałych rachunek jest bezsentymentalny. Darmowy plan pokrywa projekt poboczny; płatny plan kosztuje miesięcznie mniej niż jeden dzień pracy inżynierskiej, a lista powyżej przestaje być Twoim problemem.