Альтернативы: VK, Яндекс или Авториза?

Многие современные сервисы предлагают пользователям вход через VK ID, Яндекс ID или другие внешние сервисы.

Возникает закономерный вопрос:

Зачем нужна отдельная система аутентификации? Разве нельзя просто добавить кнопку "Войти через VK" или "Войти через Яндекс"?

Короткий ответ: можно. Для некоторых проектов этого действительно достаточно.

Но вход через внешний сервис и полноценная система аутентификации решают разные задачи.

VK ID или Яндекс ID — это способ входа

VK ID и Яндекс ID помогают пользователю подтвердить свою личность.

Они отвечают на вопрос:

"Кто этот пользователь?"

Например:

Пользователь нажимает "Войти через VK".
VK подтверждает его личность и возвращает информацию вашему приложению.

На этом задача провайдера входа в основном заканчивается.

Авторизация — это инфраструктура вашего продукта

Вашему приложению обычно нужно больше.

Например:

единый пользователь независимо от способа входа;
несколько вариантов регистрации;
управление сессиями;
работа с токенами;
подключение нескольких приложений;
единая интеграция для web и mobile;
возможность добавлять новые способы входа без переработки приложения.

Эти задачи уже относятся не к отдельному способу входа, а к системе аутентификации продукта.

"Но VK ID и Яндекс ID бесплатные"

Это действительно так. Использование внешнего провайдера входа обычно не требует отдельной платы.

Но стоимость решения определяется не только стоимостью самого сервиса. Каждый новый способ входа — это отдельная техническая задача.

Для каждого провайдера необходимо:

реализовать интеграцию;
настроить OAuth 2.0 / OpenID Connect;
обработать особенности API;
настроить передачу данных пользователя;
протестировать разные сценарии;
поддерживать изменения со стороны провайдера.

Самая сложная часть — не кнопка входа

Первая интеграция обычно кажется простой. Настоящие сложности появляются позже.

Например:

Пользователь зарегистрировался через VK.
Через некоторое время он решил войти через Яндекс.

И теперь вопросы:

Это новый пользователь или тот же самый?
Как безопасно объединить аккаунты?
Что делать, если пользователь потерял доступ к одному из способов входа?
Как дать пользователю возможность сменить способ входа?

Такие сценарии появляются почти у любого продукта, который развивается.

Почему несколько способов входа лучше одного

На старте одного способа входа может быть достаточно. Но по мере развития продукта пользователи ожидают выбор:

Кто-то предпочитает VK ID.
Кому-то удобнее Яндекс ID.
Кому-то нужен вход по электронной почте илиГосУслуги (ЕСИА).
Для B2B-продуктов может понадобиться корпоративная аутентификация.

Каждый новый вариант сам по себе кажется небольшой задачей, но со временем эти интеграции начинают создавать дополнительную сложность для команды.

Авториза объединяет способы входа

Авториза позволяет использовать разные способы входа как часть единой системы аутентификации. Например:

VK ID ───────┐
             │
Яндекс ID ───┤
             │
Email ───────┤
             ▼
         Авториза
             │
             ▼
      Ваше приложение

Для пользователя это привычный выбор способа входа.

Для вашего приложения — единая точка интеграции.

Когда достаточно VK ID или Яндекс ID

Если ваш проект небольшой:

одно приложение;
один способ входа;
нет сложных сценариев работы с пользователями;
нет планов расширения;
есть привязка к определенной экосистеме (Яндекс, VK, или иной);

то прямой интеграции с VK ID или Яндекс ID может быть достаточно. Это нормальный выбор.

Но стоит учитывать будущие задачи продукта. Если со временем появятся новые способы входа или дополнительные приложения, архитектуру придется расширять.

Когда стоит использовать Авторизу

Авториза подойдет, если:

вы хотите предоставить пользователям несколько вариантов входа;
у вас несколько приложений;
есть web и mobile клиенты;
нужен единый сервер аутентификации;
хочется использовать открытые стандарты OAuth 2.0 и OpenID Connect;
команда не хочет самостоятельно поддерживать инфраструктуру идентификации.

Наше мнение

VK ID и Яндекс ID — хорошие инструменты для входа пользователей.

Авториза не заменяет их.

Она решает другую задачу.

Мы хотим дать разработчикам единый слой аутентификации, который позволяет подключать разные способы входа и не строить вокруг каждого из них отдельную инфраструктуру.

Вместо нескольких независимых интеграций ваше приложение работает с одной современной системой аутентификации.

Вы выбираете способы входа, которые подходят вашему продукту.

Авториза помогает объединить их в единую архитектуру.