Аудит безопасности OAuth 2.0 и OpenID Connect
Составляем карту клиентов, провайдеров, адресов возврата, типов токенов, областей доступа и мест хранения секретов. Проверяем точное сопоставление redirect URI, поток authorization code и PKCE S256 — одноразовое подтверждение, связывающее запрос с конкретным устройством.
Когда стоит обратиться
Обычно к нам обращаются в таких ситуациях:
- Авторизация подключалась давно, а текущая схема использует устаревший поток, широкий список адресов возврата или постоянные refresh token.
- Пользователи периодически попадают в чужую сессию, получают циклический вход либо видят ошибку после возврата провайдера.
- Перед аудитом заказчика или запуском мобильного приложения требуется подтвердить безопасность OAuth 2.0 и OpenID Connect.
Что именно мы сделаем
Составляем карту клиентов, провайдеров, адресов возврата, типов токенов, областей доступа и мест хранения секретов.
Проверяем точное сопоставление redirect URI, поток authorization code и PKCE S256 — одноразовое подтверждение, связывающее запрос с конкретным устройством.
Разбираем state, nonce, issuer и audience, чтобы ответ провайдера относился к нужной сессии, клиенту и серверу.
Проверяем срок жизни, ротацию и повторное использование refresh token, выход из аккаунта, cookies и передачу токенов между частями системы.
Исправляем подтверждённые проблемы, проводим негативные сценарии и готовим понятную схему безопасной авторизации для команды.
Что входит в стоимость
34 900 ₽ за всю работу
Проверяем рабочий поток OAuth 2.0 или OpenID Connect на сайте, в личном кабинете либо API. Разбираем адреса возврата, PKCE, state, nonce, issuer, audience, права токена, хранение секретов и ротацию refresh token, затем вносим согласованные исправления и повторяем тесты.
Что будет готово
Передадим вам
- Отчёт с подтверждёнными рисками, примерами запросов и приоритетом исправлений.
- Исправленный поток авторизации и конфигурация нужного провайдера.
- Матрица успешных и негативных тестов OAuth 2.0 или OpenID Connect.
Перед сдачей проверим
- Адрес возврата проходит точную проверку, а изменённый адрес получает контролируемый отказ.
- Код авторизации связан с конкретной попыткой входа через PKCE, state и nonce по нужному сценарию.
- Повторное применение старого refresh token фиксируется и приводит к безопасному завершению сессии.
Как это выглядит на практике
Проверка перехваченного кода авторизации
Типичная ситуация: авторизация подключалась давно, а текущая схема использует устаревший поток, широкий список адресов возврата или постоянные refresh token. Сначала начинаем вход в одном браузере и сохраняем параметры запроса к провайдеру, затем пытаемся завершить тот же вход с другой сессией и чужим проверочным значением PKCE, а в финале система отклоняет код и записывает причину в журнал безопасности.
- 01
Начинаем вход в одном браузере и сохраняем параметры запроса к провайдеру.
- 02
Пытаемся завершить тот же вход с другой сессией и чужим проверочным значением PKCE.
- 03
Система отклоняет код и записывает причину в журнал безопасности.
- 04
Повторяем обычный вход и подтверждаем стабильную работу пользователя.
Что понадобится для работы
От вас
- Тестовые учётные записи и доступ к настройкам OAuth или OpenID Connect у провайдера.
- Временный доступ к коду авторизации, конфигурации, журналам и тестовой среде.
- Описание веб-, мобильных и API-сценариев, где используются коды и токены.
Если у вас немного другая ситуация
Небольшие уточнения, которые помогают довести согласованный результат до рабочего состояния, уже учитываем в цене. Если по ходу работы появится отдельный крупный блок или понадобится платная лицензия, сначала обсудим варианты и стоимость. Расскажите о своей ситуации — подстроим план под неё.
- 3 000 ₽после подписания договора через Диадок
- 31 900 ₽после выполнения, демонстрации и приёмки результата
Предоплата входит в общую стоимость. Оставшуюся сумму оплачиваете после демонстрации и приёмки готовой работы.
Часто спрашивают
Об этой услуге
OAuth 2.0 и OpenID Connect решают одну задачу?
OAuth 2.0 выдаёт приложению ограниченный доступ к ресурсу. OpenID Connect добавляет подтверждённые сведения о личности и вход пользователя. На практике их потоки связаны, поэтому проверяем всю цепочку.
В пакет входят исправления или только отчёт?
В пакет входят согласованные исправления, которые укладываются в текущую архитектуру авторизации, а также повторная проверка. Для крупной перестройки подготовим понятный план перехода.
Работа затронет действующих пользователей?
Сначала проверяем тестовую среду и совместимость активных сессий. Выпуск спланируем так, чтобы пользователи сохранили привычный вход либо получили понятное повторное подтверждение.
Подходит ли аудит для мобильного приложения?
Да. Проверяем системный браузер, возврат по Universal Link или App Link, PKCE, хранение токенов и обновление сессии после возвращения в приложение.
Цена и изменения по ходу работы
Цена на странице окончательная?
Да. Перед началом мы сверяем исходные данные и фиксируем результат в договоре. Указанная на странице сумма покрывает согласованную работу целиком, даже если её техническая реализация потребует больше времени, чем ожидалось при оценке.
Что означает резерв незапланированных работ?
Это уже включённый в цену запас времени на небольшие связанные уточнения заказчика, которые появляются после старта: например, добавить поле, изменить формат уведомления или учесть ещё одно условие обработки.
Резерв рассчитывается по формуле: стоимость услуги × 30% ÷ 1 500 ₽. Для услуги за 30 000 ₽ это 6 часов. Эти часы относятся только к дополнительным, заранее незапланированным уточнениям. Они не являются сроком проекта и не ограничивают время на основную работу: согласованный результат мы выполняем полностью.
Можно уточнять детали уже во время работы?
Да. Небольшие связанные изменения обычно помещаются во включённый резерв и не требуют доплаты. Если новая идея заметно меняет результат или превращается в самостоятельную задачу, сначала обсудим подход и стоимость. Любое решение согласуем до выполнения.
Начало работы и оплата
Как оформляются договор и оплата?
Подписываем договор через Диадок. Предоплата составляет 3 000 ₽ и входит в общую стоимость услуги. Остаток оплачивается после демонстрации и приёмки готового результата.
Когда начинается срок выполнения?
Срок отсчитывается после согласования задачи, получения необходимых доступов и материалов, подписания договора и поступления предоплаты. Конкретную дату старта и плановый день готовности подтверждаем перед началом.
Как учитываются платные лицензии и внешние сервисы?
До старта проверяем, нужны ли тарифы, лицензии, сертификаты или дополнительные ресурсы внешних систем. Если они потребуются, заранее покажем варианты и стоимость. По возможности аккаунты и лицензии оформляются сразу на заказчика.
Проверка результата и гарантия
Как принимается готовая работа?
Вместе проверяем согласованные сценарии на контрольных данных или тестовой копии, а затем демонстрируем результат. Для интеграций сверяем передачу данных и обработку ошибок, для сайта — работу нужных страниц и действий пользователя, для отчёта — расчёты и обновление данных.
Какая гарантия действует после сдачи?
На выполненные изменения действует гарантия 3 месяца. Если в изменённой нами части обнаружится ошибка нашей реализации, проверим и исправим её без дополнительной оплаты. Переданные материалы, настройки и код остаются у заказчика.