Альтернативы: VK ID, Яндекс ID или Authoriza?

Многие современные сервисы предлагают пользователям вход через VK ID, Яндекс ID или другие внешние сервисы.

Возникает закономерный вопрос:

Если пользователи могут войти через VK ID или Яндекс ID, зачем нужна отдельная система аутентификации?

Короткий ответ: можно. Для некоторых проектов этого действительно достаточно.

Но по мере развития продукта возникает еще один вопрос:

Как предоставить пользователям несколько способов входа и при этом не интегрировать каждый из них отдельно?

Эту задачу решает Authoriza.

VK ID и Яндекс ID — это способы входа

VK ID и Яндекс ID помогают пользователю подтвердить свою личность.

Они отвечают на вопрос:

«Кто этот пользователь?»

Например:

пользователь нажимает «Войти через VK»;
VK подтверждает его личность;
приложение получает информацию о пользователе.

На этом задача провайдера входа в основном заканчивается.

Authoriza — это инфраструктура аутентификации

Современному приложению обычно требуется больше.

Например:

единый пользователь независимо от способа входа;
несколько вариантов регистрации и аутентификации;
управление сессиями;
работа с токенами;
подключение нескольких приложений;
единая интеграция для web и mobile;
возможность добавлять новые способы входа без изменений в коде приложения.

Это уже задачи не отдельного провайдера входа, а системы аутентификации.

"Но VK ID и Яндекс ID бесплатные"

Это действительно так.

Однако стоимость решения определяется не только стоимостью самого сервиса.

Если приложение интегрируется напрямую с каждым провайдером, каждый новый способ входа становится отдельной технической задачей.

Для каждого провайдера необходимо:

реализовать интеграцию;
настроить OAuth 2.0 / OpenID Connect;
учесть особенности API;
протестировать различные сценарии;
поддерживать изменения со стороны провайдера.

По мере роста продукта количество таких интеграций постепенно увеличивается.

Самая сложная часть — не кнопка входа

Первая интеграция обычно кажется простой. Настоящие сложности появляются позже.

Например:

пользователь зарегистрировался через VK ID;
позже решил войти через Яндекс ID;
еще позже создал собственную учетную запись Authoriza.

Возникают вопросы:

это один пользователь или три разных?
как безопасно объединить способы входа?
что делать, если пользователь потерял доступ к VK ID?
как разрешить сменить основной способ входа?

Такие сценарии сложнее, чем сама интеграция с провайдером.

Почему несколько способов входа лучше одного

На старте одного способа входа может быть достаточно. Но по мере развития продукта пользователи ожидают выбор:

Кто-то предпочитает VK ID.
Кому-то удобнее Яндекс ID.
Кому-то нужен вход по электронной почте или ГосУслуги (ЕСИА).
Для B2B-продуктов может понадобиться корпоративная аутентификация.
В будущем могут появиться и новые варианты.

Каждый новый вариант сам по себе кажется небольшой задачей, но со временем эти интеграции начинают создавать дополнительную сложность для команды. Чем больше способов входа поддерживает продукт, тем важнее иметь единый механизм работы с ними.

Авториза объединяет способы входа

Авториза позволяет использовать разные способы входа как часть единой системы аутентификации. Например:

VK ID ───────┐
             │
Яндекс ID ───┤
             │
Email ───────┤
             ▼
         Авториза
             │
             ▼
      Ваше приложение

Для пользователя это привычный выбор способа входа.

Для приложения — одна интеграция независимо от того, каким способом пользователь вошел.

Если в будущем Authoriza получит поддержку новых провайдеров, приложению не потребуется менять собственную систему аутентификации — достаточно включить новый способ входа в настройках.

Когда достаточно прямой интеграции с VK ID или Яндекс ID

Если ваш проект:

состоит из одного приложения;
использует один способ входа;
не предполагает сложной работы с учетными записями;
тесно связан с определенной экосистемой (Яндекс, VK, или иной);

то прямой интеграции с VK ID или Яндекс ID вполне может быть достаточно. Это нормальное архитектурное решение.

Но стоит учитывать будущие задачи продукта. Если со временем появятся новые способы входа или дополнительные приложения, архитектуру придется расширять.

Когда стоит использовать Authoriza

Authoriza подойдет, если:

вы хотите предоставить пользователям выбор способа входа;
не хотите отдельно интегрироваться с каждым провайдером;
у вас несколько приложений;
есть web- и mobile-клиенты;
нужен единый сервер аутентификации;
вы хотите использовать OpenID Connect и OAuth 2.0;
команда не хочет самостоятельно поддерживать инфраструктуру идентификации.

Наше мнение

VK ID и Яндекс ID — отличные способы аутентификации пользователей.

Authoriza не противопоставляет себя им.

Наоборот, она использует их как способы входа и предоставляет приложению единый OpenID Connect-интерфейс.

Вместо нескольких независимых интеграций приложение работает только с Authoriza, а пользователи сами выбирают удобный способ входа — через VK ID, Яндекс ID или собственную учетную запись.

По мере развития продукта можно добавлять новые способы аутентификации, не изменяя архитектуру приложения.