Вход в кабинет клиента без пароля: passkeys, ссылка из уведомления или SSO, и кому что подходит

Twilio за два дня выпустила три текста про вход без пароля, HubSpot разобрал SSO для CRM, Auth0 описал новый грант OAuth. У владельца бизнеса, который делает кабинет клиента, вопрос один: как клиент туда попадает. Пароль, который он забудет, код по SMS, ссылка в письме или passkey на телефоне. Я делал кабинеты для PDR-компании в США и для проката в ЮАР, и способ входа там обсуждали как часть задачи.

Что вышло

Twilio 23 октября сравнила passkeys с другими способами входа. Цифры из текста: до 51 % паролей используются повторно, слабые пароли стоят за более чем 80 % утечек, по исследованию HYPR за 2024 год 69 % компаний взломали через процесс аутентификации, почти 30 % расходов службы поддержки связаны с паролями. Дальше по порядку: токены и SSO, сертификаты, 2FA и MFA, коды по SMS (у 97 % американцев есть мобильный, но остаются SIM-swapping и перехват сообщений), коды и ссылки по почте. Passkeys авторы подают как замену паролю: вместо того, что человек помнит, то, чем он владеет.

Twilio 22 октября отдельно описала, как выбирать способ аутентификации для бизнеса: потери от киберпреступлений в США за 2024 год больше $16 млрд, 46 % малых компаний столкнулись хотя бы с одной атакой в 2025 году, пароль «123456» в 2023 году использовали больше 4,5 млн раз, средняя утечка в 2024 году обошлась в $4,88 млн. Из практичного: вход по ссылке на почту авторы выделяют как отдельный вариант без пароля, который убирает перебор, а про MFA пишут, что она добавляет шагов пользователю.

Третий текст, «Что такое CIAM в 2026 году», Twilio выпустила тоже 22 октября. Главная мысль: проверка в момент входа говорит мало о том, кто совершает действие пять минут спустя, тем более когда за человека работает AI-агент. Авторы предлагают второй слой поверх учёта личностей: он смотрит на сигналы по ходу сессии и в чувствительных местах требует подтверждения, вплоть до одобрения человеком. И про объяснимость: журнал должен показывать, почему действие пропустили или заблокировали.

HubSpot 20 октября разобрал SSO для CRM, то есть вход сотрудников: SAML и OIDC отвечают за аутентификацию через провайдера вроде Entra ID, Okta или Google, а SCIM отдельно заводит и отключает учётные записи. Риск HubSpot называет сам: зависимость от провайдера, которую нужно планировать заранее. Auth0 20 октября описал ID-JAG, Identity Assertion JWT Authorization Grant: грант OAuth, чтобы одно приложение получало доступ к другому через корпоративный провайдер. У меня только описание страницы, дальше заголовка не иду.

Что это значит для бизнеса

Возьмём прокат автомобилей. Клиент бронирует машину раз в год. Повесите на кабинет пароль, и через год клиент его не вспомнит, попросит сброс, письмо уйдёт в спам, и менеджер будет диктовать данные по телефону. Клиентский кабинет живёт по правилам CIAM из статьи Twilio: участие добровольное, каждый лишний шаг на входе отнимает клиента. Сотрудники входят каждый день, им можно ставить MFA и SSO через рабочий провайдер.

Вывод: вход клиента и вход сотрудника это два разных проекта с разными правилами, и одна форма «логин и пароль для всех» не подходит ни тем, ни другим.

Как это сделано у меня

В PDR-компании в США рядом с супераппом работает кабинет клиента: онлайн-таймлайн по заказу, подпись документа пальцем с выпуском PDF, фото, push- и SMS-уведомления, на английском и испанском. Клиент открывает кабинет по специальной ссылке. Для человека, который приехал починить вмятину, это проще, чем заводить учётную запись ради подписи акта.

В прокате из Кейптауна, где я с октября 2024 года делал сайт с полным циклом бронирования и интеграции с AmoCRM, мы собрали вокруг выдачи цепочку документов и подписей: удалённые подписи и подпись сотрудника, согласие и письмо на почту. Платёж проверяется по скриншоту, который прикладывают в процессе. Это проверка по изображению, а не автоматическая сверка с банком.

В сервисе «Кофе вместе», который я сделал в сентябре и октябре 2026 года, вход администратора строже, потому что там оплаты: сессия живёт 8 часов, после пяти неудачных попыток с одного адреса вход блокируется на 15 минут, пароль хранится только как scrypt-хеш, пользователя gateway определяет по подписанной HttpOnly cookie и удаляет заголовки идентичности, которые прислал клиент. Тот, кто подтверждает деньги, входит сложнее, чем рядовой сотрудник.

Что я бы сделал

Для клиентов с редкими визитами: ссылка из письма или SMS с ограниченным сроком, одноразовая для подписи и оплаты. Passkey предлагать вторым шагом тем, кто заходит регулярно, например корпоративным клиентам проката.

Для сотрудников: SSO через провайдер, который у компании уже есть, и MFA. Если CRM умеет SCIM, подключить, чтобы уволенный сотрудник терял доступ в тот же день. Заранее решить, что делать, если провайдер недоступен: резервный вход для двух администраторов.

Для чувствительных действий, как советует Twilio в тексте про CIAM: подпись документа или смена реквизитов требуют повторного кода, даже если сессия открыта.

Журнал: кто вошёл, по какой ссылке, что подписал. Когда клиент скажет «я этого не подписывал», ответ должен лежать в логе.

Что определить до первой версии кабинета, я собрал в статье Как спланировать первую версию клиентского портала. Направления: клиентский продукт, связанный с бизнесом и приложение под ваш клиентский сценарий. Кейсы: технический партнёр PDR-компании и прокат в ЮАР. Из других обзоров: кабинет клиента: подпись пальцем, PDF и второй язык и уязвимость в бизнес-логике, которую сканер не видит; раньше я писал, что вход не равен доступу к данным. Если вы проектируете кабинет и не знаете, как пускать клиентов, опишите, кто и как часто будет заходить: Обсудить задачу.