Авторизація — це процес, під час якого сайт, застосунок або інша система визначає, до яких даних і функцій конкретний користувач має право доступу.
Простіше кажучи, система вже знає, хто ви, і тепер вирішує: що саме вам дозволено бачити та робити.
Наприклад, після входу в інтернет-банк ви можете переглядати власні рахунки й здійснювати операції, але не маєте доступу до рахунків інших клієнтів. У корпоративному сервісі звичайний працівник може переглядати документи свого відділу, а адміністратор — додавати користувачів і змінювати налаштування. Саме такі обмеження визначає авторизація.
Авторизація — це не просто вхід в акаунт
У повсякденній мові авторизацією часто називають сам вхід на сайт: «авторизуватися за логіном і паролем». Це зрозуміле й дуже поширене вживання, але з технічного погляду процес складається щонайменше з двох частин.
Спочатку відбувається автентифікація — система перевіряє, хто намагається увійти. Для цього можуть використовуватися пароль, одноразовий код, біометрія, passkey або інший спосіб підтвердження.
Після цього починає діяти авторизація — система перевіряє, які права має вже розпізнаний користувач.
Схему можна звести до двох питань:
Автентифікація: «Хто ви?»
Авторизація: «Що вам дозволено?»
Наприклад, пароль допоміг підтвердити, що акаунт належить вам. Це автентифікація. А можливість після входу редагувати власний профіль, але не чужий, — результат авторизації.
Як працює авторизація
Після успішного входу система пов'язує користувача з певними правами доступу. Вони можуть залежати від ролі, типу акаунта, налаштувань організації, підписки або конкретних дозволів.
Умовно сайт може знати:
- цей користувач може читати документ;
- цей може його редагувати;
- цей може видаляти файли;
- цей має доступ до адміністративної панелі;
- цей бачить лише власні дані.
Тому двоє людей можуть одночасно бути успішно залогінені в одному сервісі, але мати зовсім різні можливості.
Авторизація застосовується не лише до людей. Права можуть отримувати програми, мобільні застосунки, API та інші сервіси, яким дозволено виконувати певні дії від імені користувача.
Приклад із соцмережею
Ви входите у свій акаунт у соцмережі.
Після входу можете редагувати власні дописи, змінювати налаштування профілю, переглядати приватні повідомлення та керувати своїми фотографіями.
Водночас ви не можете відкрити приватне листування іншого користувача або змінити його профіль.
Система вже визначила, хто ви, а авторизація встановила межі доступу.
Навіть усередині одного акаунта можуть бути додаткові обмеження. Наприклад, власник сторінки компанії може надати іншій людині право публікувати дописи, але не дозволити їй змінювати налаштування або керувати іншими адміністраторами.
Авторизація в робочих сервісах
Особливо помітна роль авторизації в корпоративних системах.
Уявімо сервіс, де працюють бухгалтер, менеджер і системний адміністратор. Кожен має власний акаунт і може успішно ввійти в систему.
Але права відрізняються.
Менеджер працює із замовленнями та клієнтами. Бухгалтер має доступ до рахунків і фінансових документів. Адміністратор керує користувачами та налаштуваннями сервісу.
Якщо права налаштовані правильно, працівник отримує лише той доступ, який потрібен йому для роботи. Такий підхід зменшує ризик випадкового видалення даних, витоку інформації або зловживання доступом.
Що означає «Дозволити доступ» застосунку
Ще один поширений приклад авторизації виникає, коли один сервіс просить доступ до іншого.
Наприклад, ви підключаєте сторонній застосунок до свого Google-акаунта. На екрані може з'явитися перелік дозволів:
- перегляд адреси електронної пошти;
- доступ до календаря;
- читання файлів;
- створення або редагування певних даних.
Натискаючи «Дозволити», користувач надає застосунку конкретні права.
Це одна з форм авторизації: стороння програма не обов'язково отримує ваш пароль. Натомість вона отримує дозвіл виконувати визначені дії.
Саме тому перед підтвердженням такого запиту важливо дивитися не лише на назву програми, а й на те, які саме права вона просить.
Калькулятору, наприклад, навряд чи потрібен доступ до вашої електронної пошти або контактів. Якщо простий сервіс запитує значно більше дозволів, ніж необхідно для його роботи, це привід не поспішати з підтвердженням.
Чому авторизація важлива для безпеки
Надійний пароль захищає акаунт від стороннього входу, але цього недостатньо. Не менш важливо правильно визначити, що може робити користувач після входу.
Якби будь-який зареєстрований користувач отримував необмежений доступ до системи, сам факт перевірки пароля майже не мав би сенсу.
Авторизація створює межі між користувачами, даними та функціями.
Наприклад, вона не повинна дозволяти:
- звичайному користувачеві відкривати чужі приватні дані;
- працівнику без відповідних повноважень змінювати фінансову інформацію;
- сторонній програмі отримувати більше даних, ніж їй було дозволено;
- користувачеві виконувати адміністративні дії без відповідної ролі.
Один із базових принципів інформаційної безпеки полягає в тому, щоб надавати користувачам і програмам лише мінімально необхідні права.
Якщо застосунку достатньо читати календар, йому не потрібен дозвіл видаляти події. Якщо працівнику потрібно переглядати документ, необов'язково давати йому право його видаляти.
Що може зробити сам користувач
Більшу частину механізмів авторизації налаштовує сам сервіс, але деякі права контролює користувач.
Варто періодично перевіряти, які програми підключені до важливих акаунтів — Google, Microsoft, Apple, соціальних мереж та інших сервісів.
Якщо застосунком ви більше не користуєтеся, його доступ можна відкликати.
Також варто уважно читати запити на дозволи. Особливо якщо програма хоче отримати доступ до пошти, файлів, контактів, фотографій, календаря або інших приватних даних.
Надати застосунку доступ часто можна одним натисканням. Але цей дозвіл може залишатися активним значно довше, ніж ви пам'ятатимете про сам застосунок.
Що відбувається після виходу з акаунта
Після входу сайт зазвичай створює сесію, завдяки якій не потрібно вводити пароль на кожній сторінці.
Поки сесія активна, сервіс пам'ятає, який користувач працює з ним, і застосовує до його дій відповідні права доступу.
Коли користувач виходить з акаунта, така сесія має завершитися. Саме тому на спільних або чужих пристроях важливо не просто закривати вкладку браузера, а використовувати кнопку «Вийти».
Особливо це стосується пошти, банківських сервісів, робочих систем та інших акаунтів із чутливими даними.
Авторизація, автентифікація та верифікація — коротко
Ці три терміни часто зустрічаються поруч, але позначають різні процеси.
Автентифікація підтверджує, хто ви.
Авторизація визначає, що вам дозволено робити.
Верифікація перевіряє достовірність певних даних — наприклад, електронної адреси, номера телефону або документа.
Тому введення пароля під час входу — це насамперед автентифікація. Доступ після входу лише до власних даних — авторизація. А лист із посиланням для підтвердження електронної адреси — верифікація.
