---
title: "OAuth на практике — FoxAuth"
description: "Заметки об OAuth 2.1, OpenID Connect и собственном сервере авторизации от команды FoxAuth — о том, что по ходу работы стоило записать."
canonical: "https://foxauth.dev/ru/blog/"
lastmod: "2026-10-08T16:42:48+03:00"
---
Блог
OAuth на практике
Что мы узнали, пока строили сервер авторизации, — записано по горячим следам. Решения по протоколу, ловушки, стоившие нам целого дня, и вопросы эксплуатации, на которые справочная документация не отвечает.
Подпишитесь на RSS-ленту или откройте руководство по началу работы, если вам интереснее попробовать, чем читать.

2026-10-08
Деактивация пользователя не закрывает доступ
Флаг, проверяемый при следующем входе, оставляет в живых все сессии и токены. Как закрыть доступ сразу, в каком порядке и что останется вне досягаемости.

2026-10-08
Okta Universal Logout — истёкший черновик
Okta Universal Logout построен на истёкшем черновике стандарта. Разбираю, что присылает Okta, где ловушка с nbf и какие проверки нельзя ослабить настройкой.

2026-10-08
Что Entra и Okta на самом деле шлют SCIM-серверу
SCIM-сервер, который строго следует профилю, отклоняет то, что на деле присылают Entra и Okta. Какие это запросы и почему хватает одной настройки.

2026-09-30
MCP-сервер должен проверять, кому выдан токен
Авторизация в MCP простыми словами: что должен опубликовать MCP-сервер, какое поле токена должно его называть и два вопроса, оставленных вам спецификацией.

2026-09-29
Ограничитель частоты не остановит подбор пароля
Лимит на один IP-адрес гасит поток запросов, но не подбор пароля. Что должен считать троттлинг входа, где хранить счёт и какие четыре ошибки я сделал.

2026-09-18
От чего защищает DPoP, а от чего нет
Утёкший токен доступа работает у любого, кто его нашёл. DPoP привязывает токен к ключу клиента. Что это даёт, чего стоит и когда я бы не стал возиться.