Как клиентам входить в кабинет: SMS, ссылка, Telegram или пароль

Кому и когда это нужно

Вы сделали кабинет или онлайн-запись, а клиент после регистрации пароль не помнит, жмёт «забыли пароль», не дожидается письма и уходит звонить. Поддержка сбрасывает пароли вручную. Если ничего не менять, кабинет остаётся пустым, а статусы и документы возвращаются в мессенджер. Зачем нужен сам кабинет, разобрано в статье про личный кабинет для клиентов. Про отпечаток и Face ID есть отдельный разбор: passkeys. Здесь про выбор способа для обычного клиента.

Как это делается: 6 шагов

1. Выясните, где клиент уже сидит: Telegram, MAX или только SMS. Основной способ берите под эту аудиторию, пароль оставьте запасным.
2. Решите, кто выдаёт доступ: клиент сам (код, кнопка мессенджера) или менеджер (ссылка). Для кабинета без оплаты вторая схема проще.
3. Поставьте лимиты до запуска. OWASP советует считать неудачные входы на аккаунт и отвечать одинаково, есть аккаунт или нет. Я добавляю счётчик по адресу, чтобы не перебирали много номеров подряд.
4. Ограничьте код: срок жизни, число попыток на один код, пауза перед новым. Новый код не должен обнулять счётчик неудач, так требует NIST SP 800-63B.
5. Назовите срок сеанса и дайте кнопку «выйти на всех устройствах». Сеанс закрывается на сервере, одного удаления cookie мало (OWASP, Session Management).
6. Пропишите восстановление: потерян телефон, сменился номер. Это ручная проверка, а не письмо на почту.

Сравнение четырёх способов

По возрасту: SMS-код понятен самым разным клиентам, ссылку надо суметь открыть из сообщения, мессенджер подходит тем, у кого он стоит. Цифр по возрастным группам у меня нет, смотрите на своих клиентов.

Что выбрать по типу бизнеса. Запись и услуги: код по SMS, плюс кнопка мессенджера для тех, кто пришёл из бота. Интернет-магазин: покупка без регистрации, а кабинет по коду или ссылке. B2B-кабинет: ссылку выдаёт менеджер, а если в кабинете деньги, добавьте второй фактор. Пароль единственным способом и без лимитов не оставляйте.

Сеансы. У меня вход держится от 30 до 180 дней в зависимости от проекта. OWASP связывает срок с риском: чем дороже чужой вход, тем короче сеанс. Cookie ставьте с флагами HttpOnly, Secure и SameSite.

Законы и документы

SMS с кодом. Реклама по определению (ст. 3 38-ФЗ, текст открывал) адресована неопределённому кругу лиц, а по сетям электросвязи её можно слать только с предварительного согласия (ч. 1 ст. 18). Код адресован одному человеку после его действия, под это определение он не подходит. Разъяснение ФАС именно про коды я не нашёл, не подтверждено, спросите юриста. Акции в текст кода не добавляйте. Имя отправителя: у операторов и агрегаторов свои требования и согласование шаблонов, тексты правил я не открывал, уточните у поставщика SMS.

Номер телефона клиента вместе с его заказами это персональные данные, согласие на обработку берут при регистрации, подробности в статье про мифы о 152-ФЗ.

Telegram. Данные входа нельзя принимать на веру: сервер заново считает подпись (HMAC от токена бота), сравнивает с полученным hash и отбрасывает устаревшие данные по auth_date. Так описано для виджета в архивной документации Telegram и для Mini App на core.telegram.org/bots/webapps. Основная страница виджета сейчас описывает другую схему, вход через OIDC. Чек-лист по Mini App: что проверить после защиты домена. MAX: в документации для мини-приложений подпись запуска проверяется похожим образом, а возраст данных не описан, его проверку добавляйте сами. Отдельной страницы про «вход через MAX» я не нашёл.

Где ошибаются чаще всего

SMS как единственный путь при массовых входах: счёт растёт с каждым входом, а при сбое провайдера никто не войдёт. Я кладу SMS в очередь, чтобы сайт не ждал провайдера.

Короткий код без лимита попыток. NIST требует минимум шесть цифр и срок не дольше 10 минут. Я беру шесть цифр, срок жизни до 10 минут, ограниченное число попыток на один код, паузу перед новым и лимит кодов в час с одного адреса.

Ответ «такого номера нет». Ответ «такого номера нет» подсказывает перебору, какие номера зарегистрированы. Отвечайте одинаково на любой номер.

Ссылка в письме, которое читают на чужом компьютере. В моей CRM для строительной компании ссылка действует 7 дней и открывается повторно, поэтому её выдаёт менеджер в личный мессенджер. Для кабинета с деньгами делайте её одноразовой и короткоживущей.

Нет блокировки перебора пароля. Ограничьте число неудач и на телефон, и на адрес, затем включайте паузу.

Где здесь поможет автоматизация

Вход через Telegram с серверной проверкой подписи работает у меня в двух платформенных проектах: данные запуска с истёкшим сроком отклоняются, на запросы без входа стоит лимит по адресу. Могу собрать под вас код по SMS с очередью и лимитами, ссылку-вход от менеджера, кнопку Telegram или MAX, журнал входов и ручное восстановление. Это часть разработки сайтов и кабинетов. Какой мессенджер брать первым, разобрано в статье про MAX и Telegram. На старте хватит одного способа и пароля в запасе.

Частые вопросы

Можно ли обойтись без SMS?

Да, если клиенты сидят в Telegram или MAX. SMS тогда нужен запасным для тех, у кого мессенджера нет. Цену вопроса посчитайте по прайсу своего поставщика.

Сколько должна жить ссылка-вход?

Единой цифры нет, это баланс удобства и риска. Семь дней в моей CRM допустимы, потому что ссылку отдаёт менеджер, а оплат в кабинете нет.

Что делать, если клиент потерял номер?

Менеджер сверяет известные данные, например последний заказ, меняет номер и записывает это в журнал. Смену номера NIST приравнивает к привязке нового способа входа.

Коротко о главном

Выберите канал, где клиент уже есть, поставьте лимиты на коды и пароли, отвечайте одинаково на любой номер и пропишите ручное восстановление.

Хотите, чтобы я собрал вход в кабинет под ваш бизнес? Напишите мне в Telegram слово «ПАРОЛЬ».