სიახლეები და ანალიზი
კლიენტის კაბინეტში შესვლა პაროლის გარეშე: passkeys, ბმული შეტყობინებიდან თუ SSO
Twilio passkeys-სა და CIAM-ზე, HubSpot SSO-ზე, Auth0 ID-JAG-ზე. როგორ შედიან ჩემთან კლიენტები და თანამშრომლები: PDR-კომპანია, გაქირავება და შიდა სერვისი „ყავა ერთად“.
Twilio-მ ორ დღეში პაროლის გარეშე შესვლაზე სამი ტექსტი გამოაქვეყნა, HubSpot-მა CRM-ისთვის SSO გაარჩია, Auth0-მა კი OAuth-ის ახალი გრანტი აღწერა. ბიზნესის მფლობელს, რომელიც კლიენტის კაბინეტს აკეთებს, ერთი კითხვა აქვს: როგორ მოხვდება იქ კლიენტი. პაროლით, რომელიც დაავიწყდება, SMS-კოდით, ბმულით წერილში თუ passkey-ით ტელეფონზე. კაბინეტები აშშ-ის PDR-კომპანიისა და სამხრეთ აფრიკის გაქირავებისთვის გავაკეთე, და შესვლის ხერხს იქ ამოცანის ნაწილად განვიხილავდით.
რა გამოვიდა
Twilio-მ 23 ოქტომბერს passkeys შესვლის სხვა ხერხებს შეადარა. ციფრები ტექსტიდან: პაროლების 51 %-მდე განმეორებით გამოიყენება, სუსტი პაროლები გაჟონვების 80 %-ზე მეტის უკან დგას, HYPR-ის 2024 წლის კვლევით კომპანიების 69 % ავთენტიფიკაციის პროცესის გავლით გატეხეს, მხარდაჭერის სამსახურის ხარჯების თითქმის 30 % კი პაროლებს უკავშირდება. შემდეგ რიგრიგობით: ტოკენები და SSO, სერტიფიკატები, 2FA და MFA, SMS-კოდები (ამერიკელების 97 %-ს მობილური აქვს, მაგრამ რჩება SIM-swapping და შეტყობინებების ჩაჭერა), კოდები და ბმულები ფოსტით. Passkeys-ს ავტორები პაროლის შემცვლელად წარადგენენ: იმის ნაცვლად, რაც ადამიანს ახსოვს, ის, რაც მას აქვს.
Twilio-მ 22 ოქტომბერს ცალკე აღწერა, როგორ აირჩიოს ბიზნესმა ავთენტიფიკაციის ხერხი: კიბერდანაშაულით ზარალი აშშ-ში 2024 წელს $16 მლრდ-ს აღემატება, მცირე კომპანიების 46 %-ს 2025 წელს ერთი შეტევა მაინც ჰქონდა, პაროლი „123456“ 2023 წელს 4,5 მლნ-ზე მეტჯერ გამოიყენეს, საშუალო გაჟონვა 2024 წელს $4,88 მლნ დაჯდა. პრაქტიკულიდან: ელფოსტაზე ბმულით შესვლას ავტორები პაროლის გარეშე ცალკე ვარიანტად გამოყოფენ, რომელიც პაროლის შერჩევას გამორიცხავს, MFA-ზე კი წერენ, რომ მომხმარებელს ნაბიჯებს უმატებს.
მესამე ტექსტი, „რა არის CIAM 2026 წელს“, Twilio-მ ასევე 22 ოქტომბერს გამოაქვეყნა. მთავარი აზრი: შემოწმება შესვლის მომენტში ცოტას ამბობს იმაზე, ვინ ასრულებს მოქმედებას ხუთი წუთის შემდეგ, მით უმეტეს, როცა ადამიანის მაგივრად AI-აგენტი მუშაობს. ავტორები იდენტობების აღრიცხვის თავზე მეორე ფენას გვთავაზობენ: ის სესიის განმავლობაში სიგნალებს აკვირდება და მგრძნობიარე ადგილებში დადასტურებას ითხოვს, ადამიანის თანხმობამდეც კი. და ახსნადობაზე: ჟურნალმა უნდა აჩვენოს, რატომ გაუშვეს ან დაბლოკეს მოქმედება.
HubSpot-მა 20 ოქტომბერს CRM-ისთვის SSO გაარჩია, ანუ თანამშრომლების შესვლა: SAML და OIDC ავთენტიფიკაციას პროვაიდერის გავლით უზრუნველყოფს, როგორიცაა Entra ID, Okta ან Google, SCIM კი ცალკე ქმნის და თიშავს ანგარიშებს. რისკს HubSpot თავად ასახელებს: პროვაიდერზე დამოკიდებულება, რომელიც წინასწარ უნდა დაიგეგმოს. Auth0-მა 20 ოქტომბერს ID-JAG აღწერა, Identity Assertion JWT Authorization Grant: OAuth-ის გრანტი, რომლითაც ერთი აპლიკაცია მეორეზე წვდომას კორპორაციული პროვაიდერის გავლით იღებს. მხოლოდ გვერდის აღწერა მაქვს, ამიტომ სათაურს იქით არ მივდივარ.
რას ნიშნავს ეს ბიზნესისთვის
ავიღოთ ავტომობილების გაქირავება. კლიენტი მანქანას წელიწადში ერთხელ ჯავშნის. კაბინეტზე პაროლს თუ დააყენებთ, ერთი წლის შემდეგ კლიენტს ის აღარ ემახსოვრება, აღდგენას მოითხოვს, წერილი სპამში მოხვდება, მენეჯერი კი მონაცემებს ტელეფონით უკარნახებს. კლიენტის კაბინეტი Twilio-ს სტატიიდან CIAM-ის წესებით ცხოვრობს: მონაწილეობა ნებაყოფლობითია და შესვლისას ყოველი ზედმეტი ნაბიჯი კლიენტს გაკარგვინებთ. თანამშრომლები ყოველდღე შედიან, მათთვის MFA და სამუშაო პროვაიდერით SSO შეიძლება.
დასკვნა: კლიენტის შესვლა და თანამშრომლის შესვლა ორი სხვადასხვა პროექტია სხვადასხვა წესებით, და ერთი ფორმა „ლოგინი და პაროლი ყველასთვის“ არც ერთს არ უხდება.
როგორ არის ეს ჩემთან გაკეთებული
აშშ-ის PDR-კომპანიაში სუპერაპის გვერდით კლიენტის კაბინეტი მუშაობს: შეკვეთის ონლაინ-ტაიმლაინი, დოკუმენტის ხელმოწერა თითით და PDF-ის გამოშვება, ფოტოები, push- და SMS-შეტყობინებები, ინგლისურად და ესპანურად. კლიენტი კაბინეტს სპეციალური ბმულით ხსნის. ადამიანისთვის, რომელიც ძარის ჩაზნექილობის გასასწორებლად მოვიდა, ეს უფრო მარტივია, ვიდრე აქტის ხელმოსაწერად ანგარიშის შექმნა.
კეიპტაუნის გაქირავებაში, სადაც 2024 წლის ოქტომბრიდან ჯავშნის სრული ციკლის საიტსა და AmoCRM-თან ინტეგრაციებს ვაკეთებდი, გაცემის გარშემო დოკუმენტებისა და ხელმოწერების ჯაჭვი ავაწყვეთ: დისტანციური ხელმოწერები და თანამშრომლის ხელმოწერა, თანხმობა და წერილი ფოსტაზე. გადახდა მოწმდება სკრინშოტით, რომელსაც პროცესში ამაგრებენ. ეს შემოწმება სურათითაა, ბანკთან ავტომატური შედარების გარეშე.
შიდა სერვისში „ყავა ერთად“, რომელიც 2026 წლის სექტემბერსა და ოქტომბერში გავაკეთე, ადმინისტრატორის შესვლა უფრო მკაცრია, რადგან იქ გადახდებია: სესია 8 საათი ცოცხლობს, ერთი მისამართიდან ხუთი წარუმატებელი ცდის შემდეგ შესვლა 15 წუთით იბლოკება, პაროლი მხოლოდ scrypt-ჰეშის სახით ინახება, gateway მომხმარებელს ხელმოწერილი HttpOnly cookie-ით ცნობს და კლიენტის გამოგზავნილ იდენტობის სათაურებს შლის. ვინც ფულს ადასტურებს, უფრო რთულად შედის, ვიდრე რიგითი თანამშრომელი.
რას გავაკეთებდი
იშვიათად მოსული კლიენტებისთვის: ბმული წერილიდან ან SMS-იდან შეზღუდული ვადით, ხელმოწერისა და გადახდისთვის ერთჯერადი. Passkey მეორე ნაბიჯად შესთავაზეთ მათ, ვინც რეგულარულად შედის, მაგალითად გაქირავების კორპორაციულ კლიენტებს.
თანამშრომლებისთვის: SSO იმ პროვაიდერით, რომელიც კომპანიას უკვე აქვს, და MFA. თუ CRM-ს SCIM შეუძლია, ჩართეთ, რომ გათავისუფლებულმა თანამშრომელმა წვდომა იმავე დღეს დაკარგოს. წინასწარ გადაწყვიტეთ, რა ხდება, თუ პროვაიდერი მიუწვდომელია: სარეზერვო შესვლა ორი ადმინისტრატორისთვის.
მგრძნობიარე მოქმედებებისთვის, როგორც Twilio CIAM-ის ტექსტში გვირჩევს: დოკუმენტის ხელმოწერა ან რეკვიზიტების შეცვლა განმეორებით კოდს ითხოვს, სესია ღია რომც იყოს.
ჟურნალი: ვინ შევიდა, რომელი ბმულით, რას მოაწერა ხელი. როცა კლიენტი იტყვის „ამას ხელი არ მოვაწერე“, პასუხი ლოგში უნდა იდოს.
რა უნდა განისაზღვროს კაბინეტის პირველ ვერსიამდე, სტატიაში შევკრიბე: როგორ დავგეგმოთ კლიენტის პორტალის პირველი ვერსია. მიმართულებები: ბიზნესთან დაკავშირებული კლიენტის პროდუქტი და აპლიკაცია თქვენი კლიენტის სცენარისთვის. ქეისები: PDR-კომპანიის ტექნიკური პარტნიორი და გაქირავება სამხრეთ აფრიკაში. იმავე თემაზე: კლიენტის კაბინეტი: ხელმოწერა თითით, PDF და მეორე ენა და ბიზნეს-ლოგიკის მოწყვლადობა, რომელსაც სკანერი ვერ ხედავს; ადრე ვწერდი, რომ შესვლა მონაცემებზე წვდომას არ ნიშნავს. თუ კაბინეტს აპროექტებთ და არ იცით, როგორ შემოუშვათ კლიენტები, აღწერეთ, ვინ და რამდენად ხშირად შევა: ამოცანის განხილვა.