Что такое авторизация

Рассказываем, что значит авторизоваться в сервисе, зачем нужны логины на сайтах и как сделать процедуру авторизации проще для клиентов.

Как работает авторизация

При первом входе на сайт или в приложение, где используются личные данные, нужно зарегистрироваться в системе — создать учётную запись. Далее при каждом повторном входе нужно авторизоваться с помощью данных, указанных при регистрации. При этом система сравнивает вводимые данные с регистрационными и определяет, можно ли открыть доступ к учётной записи.

Пример: посетитель интернет-магазина хочет посмотреть историю своих заказов, которая хранится в личном кабинете. Для этого он должен указать свои идентификационные данные, по которым система опознает клиента и разрешит войти в аккаунт.

В качестве идентификатора можно использовать разные виды данных, например:

• логин, созданный для этого сайта;
• email;
• номер телефона;
• аккаунт в соцсетях, мессенджерах и других сторонних сервисах.

Далее пользователь должен подтвердить, что указанный логин или другой идентификатор принадлежит именно ему. Для этого нужно ввести секретную информацию, которая доступна только ему: например, пароль, код из СМС или push. Система проверяет соответствие идентификационных данных тем, что хранятся в базе. Если параметры совпадают, то клиент попадает в свой личный кабинет, если нет — система выдаёт ошибку и доступ невозможен.

Сферы применения

Авторизация используется не только в интернет-магазинах. Проверка проводится везде, где нужно ограничить доступ к контенту, функциям, совершению операций. Примеры:

• социальные сети;
• чаты и мессенджеры;
• мобильные приложения;
• онлайн-игры;
• стриминговые платформы;
• корпоративные системы учёта, программы, базы данных;
• облачные хранилища;
• электронные кошельки и платёжные инструменты;
• смартфоны, компьютеры, роутеры, приставки IPTV и другие устройства.

Один из распространённых сервисов, в котором необходима авторизация, — электронная почта. Когда вы авторизуетесь в приложении или на сайте почтового сервиса, открывается ваш ящик с письмами, папками, контактами, заметками. Ваши данные хранятся на почтовом сервере вместе с данными тысяч других пользователей. Разграничение доступа происходит в процессе идентификации. По email, который вы вводите в окне входа, система понимает, к какому ящику нужно открыть доступ. А по паролю определяет, что вам разрешён доступ к этому ящику.

Разделение ролей пользователей

В некоторых системах создаётся многоуровневая система доступа. Например, на одном компьютере можно сделать несколько учётных записей с разными правами. Тогда обычные пользователи смогут только работать в установленных программах, а администраторы — удалять ПО, менять настройки, добавлять и удалять учётные записи.

Уровень доступа определяется на этапе проверки параметров входа. По логину или другому идентификатору система определяет набор разрешений и предоставляет доступ с соответствующими правами.

На более глобальном уровне разделять роли можно по наличию или отсутствию учётной записи. Пример — сайт интернет-магазина, на котором часть действий можно совершать без регистрации:

• смотреть каталог;
• читать статьи в блоге;
• добавлять товары в корзину;
• изучать отзывы и условия доставки;
• общаться с чат-ботом.

Но для оформления заказа, оплаты, комментирования статей, оценки товаров нужно зарегистрироваться или авторизоваться.

Что значит идентификация и аутентификация

Технически вход в систему или личный кабинет проводится в несколько этапов:

• идентификация — проверка логина или другого идентификатора;
• аутентификация — проверка пароля для этого логина;
• решение о предоставлении доступа:
• при несовпадении данных система выдаёт ошибку;
• при совпадении определяет права и разрешает вход.

Иногда добавляются дополнительные этапы подтверждения личности. Например, при двухфакторной аутентификации система может запрашивать:

• код из СМС;
• одноразовый пароль из email или push;
• ранее установленный PIN-код;
• биометрические данные (отпечаток пальца, снимок сетчатки);
• токен или цифровой сертификат.

Таким образом, понятие авторизации включает в себя процессы идентификации и аутентификации. При ошибках на одном из этих этапов авторизоваться на сайте или в приложении невозможно.

Авторизация глазами пользователей

Чем проще авторизоваться в сервисе, тем выше лояльность и вовлечённость аудитории. От удобства входа в личный кабинет зависят многие бизнес-показатели, например:

• для e-commerce — частота покупок, объём заказов и продаж;
• количество кликов и переходов внутри сайта или приложения;
• время сессии;
• коэффициент удержания и число повторных обращений (за счёт предоставления авторизованным пользователям персонализированного контента).

Долгая или слишком сложная процедура регистрации, ошибки при попытке авторизоваться, сбои при отправке СМС-кодов ведут к росту отказов и, как следствие, ухудшению KPI. Разберём один из примеров неудачной реализации модуля входа в аккаунт.

Часто запрос логина и пароля осуществляется в одном окне, и для пользователя переход от этапа идентификации к аутентификации незаметен.

Это ускоряет процедуру и требует от пользователя меньше действий: чтобы авторизоваться, нужно заполнить два поля и один раз нажать кнопку входа. Проблемы возникают в случае ошибки, когда система выдаёт сообщение вида «Неверный логин или пароль». Клиенту неясно, что именно он вводит неправильно и как исправить ошибку — попробовать другой email или вспомнить пароль.

С точки зрения защиты информации такой подход оправдан. Специалисты по кибербезопасности считают, что так злоумышленникам в два раза сложнее подобрать параметры и взломать аккаунт. Но с позиции юзабилити и логики бизнес-процессов проблемы при входе в личный кабинет могут привести к оттоку аудитории. Если клиент не может попасть в учётную запись, он, возможно, покинет сайт или удалит приложение вместо того, чтобы заниматься восстановлением доступа.

Значит, важно предложить своей аудитории такой способ входа, который будет отвечать двум требованиям:

• удобство для клиентов;
• защита данных от взлома и действий мошенников.
• Один из инструментов для быстрого и безопасного доступа к аккаунту — Сбер ID.

Доступ по Сбер ID

Это универсальный способ входа, доступный для сайтов и приложений Сбера и партнёров. С помощью Сбер ID можно авторизоваться в любом партнёрском сервисе по единому идентификатору через номер телефона или QR-код. Это значит, что пользователям не нужно:

• проходить процедуру регистрации;
• создавать и запоминать логин и пароль;
• создавать PIN-коды и секретные вопросы для усиления защиты аккаунта;
• заполнять профиль;
• привязывать карту для онлайн-платежей.

Все данные хранятся на серверах Сбера и передаются в партнёрский сервис по шифрованному каналу. Возможности Сбер ID:

• быстрый вход в личный кабинет без ввода логина и пароля;
• автоматическое добавление данных клиента в онлайн-формы на вашем ресурсе, что упрощает заполнение анкет и заявок;
• автоматическое заполнение профиля клиента: загрузка адресов, email, телефонных номеров и другой информации для быстрого оформления заказа;
• оплата картой, привязанной к Сбер ID;
• достоверные и актуальные данные о клиентах, которые можно использовать в маркетинге, аналитике, разработке стратегий продаж.

Чтобы подключить сервис авторизации Сбера на своём ресурсе, нужно зарегистрироваться как партнёр, настроить обмен данными и добавить в интерфейс форму входа по Сбер ID.