Хто ти і що тобі можна

Сервер видає квиток, браузер сам носить його в кожному запиті.

Пароль ніколи не зберігають. Зберігають повільний хеш із сіллю.

Підписаний токен із даними. Сервер не зберігає сесію, але й відкликати важче.

Браузер питає сервер: «Цьому сайту можна читати твої відповіді?»

Три класичні атаки й одне правило: дані — не код.

Увійти — це половина. Друга половина — що саме тобі дозволено.

Пароль зберігає Google, а твій сервер отримує підтвердження, хто це.

Посилання з листа — це ключ від акаунта. Роби його коротким і одноразовим.

Останні шари: обмежити спроби, додати другий фактор, закрити браузерні дірки.