Автентифікація, авторизація та верифікація описують різні перевірки, хоча в інтерфейсах сайтів і застосунків вони часто відбуваються майже одночасно. Через це слова легко сприймати як синоніми.
Найпростіше розрізняти їх за трьома питаннями:
Автентифікація — хто ви?Авторизація — що вам дозволено?Верифікація — чи правильна й достовірна певна інформація?
Наприклад, коли ви входите в пошту за паролем, система автентифікує вас. Коли після входу дозволяє читати саме вашу поштову скриньку, але не чужу, працює авторизація. А коли під час реєстрації надсилає посилання на вказану електронну адресу, щоб переконатися, що ви справді маєте до неї доступ, — це верифікація.
Що таке автентифікація
Автентифікація — це процес підтвердження того, що користувач, пристрій або система справді є тим, за кого себе видає.
Коли людина вводить логін і пароль, логін зазвичай повідомляє системі, який саме акаунт вона намагається відкрити, а пароль допомагає підтвердити право користуватися цим акаунтом.
Автентифікація може відбуватися не лише за допомогою пароля. Для неї використовують:
- одноразові коди;
- застосунки-автентифікатори;
- апаратні ключі безпеки;
- відбиток пальця або розпізнавання обличчя;
- passkey;
- комбінацію кількох способів.
Якщо після пароля сайт додатково просить код із застосунку або підтвердження на іншому пристрої, йдеться про багатофакторну автентифікацію.
Приклад із соцмережею
Ви відкриваєте Instagram, Facebook чи іншу соцмережу й вводите дані для входу. Сервіс перевіряє їх і визначає, чи справді може допустити вас до відповідного акаунта.
Це автентифікація.
Тобто тут головне питання не «які функції вам доступні?», а «чи можемо ми підтвердити, що це саме власник або легітимний користувач цього акаунта?».
Що таке авторизація
Авторизація визначає, до яких даних, функцій або дій уже розпізнаний користувач має доступ.
Зазвичай вона відбувається після автентифікації.
Уявімо робочий сервіс, яким користуються працівники компанії. І менеджер, і бухгалтер, і адміністратор можуть успішно ввійти у свої акаунти. Отже, всі троє пройшли автентифікацію.
Але після входу вони можуть бачити різні розділи:
менеджер — клієнтів і завдання;
бухгалтер — рахунки та платежі;
адміністратор — налаштування користувачів і права доступу.
Система вже знає, хто ввійшов, а тепер вирішує, що саме цій людині дозволено робити. Це і є авторизація.
Приклад із банком
Ви входите в мобільний банкінг за PIN-кодом, біометрією або іншим способом — відбувається автентифікація.
Після цього система дає вам доступ до ваших рахунків, карток і операцій, але не до рахунків інших клієнтів. Крім того, певні функції можуть бути доступні лише окремим користувачам або вимагати додаткових прав.
Це вже авторизація.
Тому фраза «користувач авторизувався на сайті» у побутовій мові зрозуміла, але технічно не завжди точна. Сам процес підтвердження особи під час входу правильніше називати автентифікацією, а авторизацією — перевірку прав після цього.
Що таке верифікація
Верифікація — ширше поняття. Це перевірка того, чи є певні дані, твердження або об'єкт правильними, справжніми чи такими, що відповідають установленим вимогам.
У цифрових сервісах найчастіше зустрічається верифікація:
електронної пошти;
номера телефону;
особи;
платіжної картки;
документів;
акаунта або організації.
Наприклад, після реєстрації сайт надсилає лист із кнопкою «Підтвердити email». Натиснувши її, користувач доводить, що має доступ до цієї поштової скриньки.
Система не обов'язково встановлює повну особу людини. Вона лише перевіряє конкретне твердження: «користувач контролює цю адресу електронної пошти».
Це верифікація email.
Верифікація особи в банку
Особливо добре різницю видно на прикладі банківських сервісів.
Під час відкриття рахунку банк може попросити паспорт, зробити фото обличчя, провести відеоперевірку або отримати інші дані, необхідні для встановлення особи клієнта.
Це верифікація особи.
Коли вже зареєстрований клієнт наступного дня відкриває банківський застосунок і підтверджує вхід біометрією або кодом, це автентифікація.
А коли система визначає, які рахунки та операції йому доступні, — це авторизація.
Три процеси можуть стосуватися одного користувача, але виконують різні завдання.
Чому код із SMS іноді означає різні речі
Плутанина виникає ще й тому, що одна й та сама технологія може використовуватися для різних процесів.
Наприклад, сайт надсилає SMS із кодом.
Якщо це відбувається під час реєстрації, щоб перевірити, чи справді користувач має доступ до вказаного номера, код використовується для верифікації номера телефону.
Якщо код надходить під час входу в уже створений акаунт як додаткове підтвердження, він бере участь в автентифікації.
Тому визначати термін лише за способом перевірки не варто. Значення має її мета.
Автентифікація, авторизація та верифікація на одному прикладі
Розглянемо реєстрацію та подальшу роботу в корпоративному сервісі.
Працівник створює акаунт і отримує лист із посиланням для підтвердження робочої електронної адреси. Це верифікація.
Наступного дня він вводить логін і пароль, а потім підтверджує вхід у застосунку-автентифікаторі. Це автентифікація.
Після входу сервіс бачить, що працівник має роль редактора, тому дозволяє створювати та змінювати матеріали, але не дає керувати платіжними даними компанії. Це авторизація.
Так різниця стає значно очевиднішою:
А де тут логін і пароль
Логін, пароль, автентифікація та авторизація також часто потрапляють в одну купу, хоча позначають різні речі.
Логін допомагає системі зрозуміти, про який акаунт ідеться. Це може бути ім'я користувача, email, номер телефону або окремий ідентифікатор.
Пароль — секрет, за допомогою якого користувач підтверджує право на доступ.
Перевірка цих даних є частиною автентифікації.
А вже після успішного входу система може провести авторизацію — перевірити роль користувача, його права та дозволені операції.
Саме тому технічно точніше казати не «авторизація за логіном і паролем», а «автентифікація за логіном і паролем», хоча в інтерфейсах і повсякденному мовленні слово «авторизація» давно використовується і як загальна назва входу в систему.
Як запам'ятати різницю
Якщо система перевіряє вашу належність до акаунта — це автентифікація.
Якщо вона вже знає, хто ви, і перевіряє ваші права — це авторизація.
Якщо потрібно підтвердити достовірність конкретної інформації — електронної адреси, номера телефону, документа чи особи — це верифікація.
Іноді всі три процеси вкладаються в кілька секунд і виглядають для користувача як один звичайний «вхід». Але для системи це різні етапи з різними завданнями.
