Какие риски есть у passwordless-авторизации (email / SMS)?

Passwordless-авторизация выглядит безопаснее паролей, но имеет свои слабые места.

Основные риски

При использовании email или SMS появляются следующие проблемы:

1. Компрометация канала доставки

   • взлом почты пользователя

   • SIM-swap атаки

   • перехват сообщений

2. Зависимость от внешних сервисов

   • недоступность почтовых сервисов

   • задержки доставки SMS

   • блокировки сообщений

3. Проблемы UX

   • пользователь не получил письмо

   • ссылка устарела

   • сложность входа без доступа к почте

4. Ограниченный контроль безопасности

   • сложнее обнаруживать атаки

   • меньше сигналов для антифрода

Где passwordless подходит

• низкорисковые сервисы

• onboarding без трения

• приложения с редкими входами

Где не подходит

• финансовые сервисы

• админ-панели

• системы с высокими требованиями безопасности

Вывод

Passwordless снижает одни риски, но создаёт другие. Его стоит использовать осознанно и часто в комбинации с дополнительными факторами защиты.