Блог
OAuth на практике
Что мы узнали, пока строили сервер авторизации, — записано по горячим следам. Решения по протоколу, ловушки, стоившие нам целого дня, и вопросы эксплуатации, на которые справочная документация не отвечает.
Подпишитесь на RSS-ленту или откройте руководство по началу работы, если вам интереснее попробовать, чем читать.
Деактивация пользователя не закрывает доступ
Флаг, проверяемый при следующем входе, оставляет в живых все сессии и токены. Как закрыть доступ сразу, в каком порядке и что останется вне досягаемости.
Okta Universal Logout — истёкший черновик
Okta Universal Logout построен на истёкшем черновике стандарта. Разбираю, что присылает Okta, где ловушка с nbf и какие проверки нельзя ослабить настройкой.
Что Entra и Okta на самом деле шлют SCIM-серверу
SCIM-сервер, который строго следует профилю, отклоняет то, что на деле присылают Entra и Okta. Какие это запросы и почему хватает одной настройки.
MCP-сервер должен проверять, кому выдан токен
Авторизация в MCP простыми словами: что должен опубликовать MCP-сервер, какое поле токена должно его называть и два вопроса, оставленных вам спецификацией.
Ограничитель частоты не остановит подбор пароля
Лимит на один IP-адрес гасит поток запросов, но не подбор пароля. Что должен считать троттлинг входа, где хранить счёт и какие четыре ошибки я сделал.
От чего защищает DPoP, а от чего нет
Утёкший токен доступа работает у любого, кто его нашёл. DPoP привязывает токен к ключу клиента. Что это даёт, чего стоит и когда я бы не стал возиться.