Створювати чи купувати: справжня ціна власної автентифікації

Створити автентифікацію справді легко, і саме в цьому пастка. Форма, хеш, сесія — робота на півдня, і вона працює. Оцінка не помиляється щодо екрана входу. Вона помиляється щодо двох років, які йдуть після нього.

Чого не враховує оцінка

• Відновлення пароля, підтвердження email і кожен граничний випадок в обох.
• Обмеження частоти запитів, політика блокування і процес підтримки для людей, які не можуть увійти.
• OAuth-провайдери — кожен зі своїми особливостями, і кожен ламається за власним графіком.
• MFA, резервні коди та підтримка при втраті пристрою.
• Журнали аудиту, бо клієнт обов’язково запитає, а «ми таких не зберігаємо» закриває розмову.
• Відкликання сесій, ротація токенів і інцидент, де вам потрібно і те, і інше о другій ночі.
• Перевірка безпеки, на яку ви не можете відповісти «ми написали це самі».

Коли створювати все ще правильно

Якщо автентифікація — це ваш продукт, створюйте її. Якщо у вас є регуляторне обмеження, якому не може відповісти жоден постачальник, створюйте її. Якщо це домашній проєкт, і мета — навчання, створюйте її. Це реальні випадки, і це не аргумент, що ніхто ніколи не повинен писати код автентифікації.

“Питання не в тому, чи може ваша команда створити автентифікацію. Питання в тому, чи є підтримка цього протягом третього року найкращим доступним використанням її часу.”

Для всіх інших розрахунок безсентиментальний. Безкоштовний план покриває сайдпроєкт; платний коштує менше на місяць, ніж день інженерного часу, а перелік вище перестає бути вашою проблемою.

Дізнайтеся, скільки це коштує →