Блог FoxAuthЗаметки об OAuth 2.1, OpenID Connect и собственном сервере авторизации от команды FoxAuth — о том, что по ходу работы стоило записать.https://foxauth.dev/ruДеактивация пользователя не закрывает доступhttps://foxauth.dev/ru/blog/deactivating-a-user-is-not-deprovisioning/https://foxauth.dev/ru/blog/deactivating-a-user-is-not-deprovisioning/Флаг, проверяемый при следующем входе, оставляет в живых все сессии и токены. Как закрыть доступ сразу, в каком порядке и что останется вне досягаемости.Thu, 08 Oct 2026 00:00:00 GMTdeprovisioningsessionstokensscimFoxAuthOkta Universal Logout — истёкший черновикhttps://foxauth.dev/ru/blog/okta-universal-logout-is-an-expired-draft/https://foxauth.dev/ru/blog/okta-universal-logout-is-an-expired-draft/Okta Universal Logout построен на истёкшем черновике стандарта. Разбираю, что присылает Okta, где ловушка с nbf и какие проверки нельзя ослабить настройкой.Thu, 08 Oct 2026 00:00:00 GMTlogoutoktafederationsecurityFoxAuthЧто Entra и Okta на самом деле шлют SCIM-серверуhttps://foxauth.dev/ru/blog/what-entra-and-okta-send-to-scim/https://foxauth.dev/ru/blog/what-entra-and-okta-send-to-scim/SCIM-сервер, который строго следует профилю, отклоняет то, что на деле присылают Entra и Okta. Какие это запросы и почему хватает одной настройки.Thu, 08 Oct 2026 00:00:00 GMTscimprovisioningentraoktaFoxAuthMCP-сервер должен проверять, кому выдан токенhttps://foxauth.dev/ru/blog/your-mcp-server-is-an-oauth-resource-server/https://foxauth.dev/ru/blog/your-mcp-server-is-an-oauth-resource-server/Авторизация в MCP простыми словами: что должен опубликовать MCP-сервер, какое поле токена должно его называть и два вопроса, оставленных вам спецификацией.Wed, 30 Sep 2026 00:00:00 GMTmcpresource-indicatorsclient-id-metadata-documentssecurityFoxAuthОграничитель частоты не остановит подбор пароляhttps://foxauth.dev/ru/blog/your-rate-limiter-is-not-a-login-throttle/https://foxauth.dev/ru/blog/your-rate-limiter-is-not-a-login-throttle/Лимит на один IP-адрес гасит поток запросов, но не подбор пароля. Что должен считать троттлинг входа, где хранить счёт и какие четыре ошибки я сделал.Tue, 29 Sep 2026 00:00:00 GMTpasswordsbrute-forcesign-insecurityFoxAuthОт чего защищает DPoP, а от чего нетhttps://foxauth.dev/ru/blog/what-dpop-protects-you-from/https://foxauth.dev/ru/blog/what-dpop-protects-you-from/Утёкший токен доступа работает у любого, кто его нашёл. DPoP привязывает токен к ключу клиента. Что это даёт, чего стоит и когда я бы не стал возиться.Fri, 18 Sep 2026 00:00:00 GMTdpoptokenssecurityFoxAuth