Регистрацию на сайте делают четырьмя способами: по email с подтверждением по ссылке, по номеру телефона с SMS-кодом, через OAuth 2.0 (VK ID, Яндекс ID, Сбер ID) и без пароля — по одноразовой ссылке. Пароли хранят только в виде хеша bcrypt или argon2, попытки входа ограничивают, персональные данные размещают на серверах в России по 152-ФЗ. Срок разработки — 1–3 недели.
Чтобы сделать регистрацию на сайте без лишних потерь, сначала решают, какие из этих способов действительно нужны бизнесу, а не подключают все сразу ради галочки.
Нужна ли сайту регистрация вообще
Прежде чем выбирать способ входа, разберитесь, где аккаунт нужен на деле. Порядок простой:
- •Выписать функции сайта: покупки, сохраненные проекты, закрытый контент, комментарии.
- •Для каждой отметить, работает ли она без аккаунта.
- •Оставить регистрацию только там, где без нее не обойтись: история заказов, сохраненные проекты, закрытый контент, комментарии от имени пользователя.
Если пользователь еще не получил пользы от сайта, форма регистрации в лоб режет конверсию. Замены есть: покупка без аккаунта, вход по коду прямо при оформлении заказа, регистрация в момент, когда человек хочет что-то сохранить.
Что сделать сейчас: составить список функций сайта, отметить точку, где без аккаунта не обойтись, и убрать регистрацию везде, где хватит гостевого доступа.
Сценарии пользователя до разработки
Разработчику нужны не описания способов входа, а готовые потоки. Их четыре, и каждый стоит записать шагами:
- •Первая регистрация: форма → проверка полей → аккаунт «не подтвержден» → письмо или SMS.
- •Первый вход после подтверждения: клик по ссылке или ввод кода → статус «подтвержден» → сессия → возврат туда, где человек был, с сохраненной корзиной.
- •Восстановление доступа: запрос сброса → одинаковый ответ для любого email → одноразовая ссылка → новый пароль → старые сессии закрыты.
- •Смена способа входа: человек в аккаунте нажимает «Привязать VK ID» → подтверждает доступ у провайдера → сайт сверяет email и связывает VK ID с существующим аккаунтом, а не создает второй.
Без таких схем разработчик додумывает поведение сам, и нестыковки всплывают уже после запуска.
Четыре способа входа и регистрации
Какой бы способ ни выбрали, запрашивайте минимум полей: лишние не прибавляют безопасности, только копят персональные данные.
Сбер ID и T-ID работают так же, только через банк. Магазину хватит телефона как основы и VK ID для быстрого входа. Контентному проекту — email или magic link в момент, когда человек хочет что-то сохранить. Meta заблокирована в РФ, а Google ID и Apple ID нужны только для международной аудитории.
Регистрация по номеру телефона
Телефон выгоднее email, когда покупки делают с мобильного, важна доставка на этот же номер, а аудитория почту почти не проверяет. Минусы тоже есть: каждая SMS стоит денег, часть кодов не доходит, номера у людей меняются.
Снизить расходы помогают лимит повторных отправок, таймер между попытками и запасной канал — например, звонок, если сообщение не пришло.
OAuth и вход без пароля
Шаги OAuth: сайт регистрирует приложение в кабинете провайдера, указывает redirect URI и ставит кнопку «Войти через…». Пользователь разрешает доступ, сайт получает код и меняет его на данные. Запрашивают минимум полей. Аккаунт провайдера привязывают к локальному по email. Magic link — ссылка с коротким сроком жизни, которую можно открыть один раз.
Как регистрация устроена технически
Email: форма шлет адрес, пароль и согласие → бэкенд проверяет поля, хеширует пароль, пишет пользователя «не подтвержден» → письмо → подтверждение → сессия. Email служит логином, после отправки человек видит явный признак успеха.
Телефон: номер → SMS-код → ввод кода → сессия. ID-сервис: кнопка → согласие у провайдера → код → обмен на данные → привязка по email → сессия.
Таблица users: email, phone, password_hash, отметки подтверждения, auth_provider. Согласия — в отдельной таблице.
- •Вход только через VK ID или Яндекс ID — пароль не хранят
- •Хеш — bcrypt или argon2, без своих шифров
- •Пароль от 8 символов, максимум не меньше 64 (OWASP)
Сессии и восстановление доступа
Сервер выдает случайный токен в cookie с флагами Secure и HttpOnly. У сессии есть срок жизни, «запомнить меня» его продлевает, о входе с нового устройства сообщают владельцу.
Сброс пароля — одноразовая ссылка с коротким сроком. После сброса старые сессии закрывают.
Типовые дыры в регистрации и входе
Тревожиться не о чем: эти дыры закрываются настройками. Первая — короткий SMS-код без лимита попыток: скрипт перебирает комбинации, пока не угадает. Вторая — восстановление пароля, которое отвечает «такого email нет»: так по одному запросу выясняют, кто зарегистрирован. Третья — вход без ограничения попыток, когда бот спокойно подбирает пароль.
Если код короткий, после нескольких неверных вводов его аннулируют и просят запросить новый. Проверить просто: ввести неверный пароль несколько раз подряд, запросить сброс для настоящего и случайного email и сравнить ответы.
Что сделать сейчас: проверить лимиты попыток, выровнять тексты ошибок, включить уведомления о входе с незнакомого устройства.
Базовая защита форм
Минимальный набор мер закрывает большинство типовых дыр разом.
- •Лимит неверных попыток по аккаунту и отдельно по IP-адресу
- •Невидимая капча, включается после подозрительной активности
- •Временная блокировка входа после серии ошибок
- •Одинаковый ответ формы восстановления независимо от того, есть email в базе или нет
- •Лог входов с датой, устройством и результатом попытки
- •Письмо-уведомление о входе с нового устройства или IP
Персональные данные и 152-ФЗ
Сайт, который собирает email, телефон или имя, становится информационной системой персональных данных — размер бизнеса тут ни при чем. Нужны политика обработки персональных данных как отдельный документ, согласие в форме, которую можно подтвердить, хранение на серверах в России и уведомление Роскомнадзора через электронную форму на портале ведомства.
Если вход идет через внешних провайдеров, в политике перечисляют, какие данные от них приходят. Санкции за нарушения — по статье 13.11 КоАП. Это обзор требований, а не юридическая консультация: документы лучше сверить с юристом.
Как хранить согласие
Согласие фиксируют отдельной записью: кто дал согласие, на что именно (обработка ПДн, рассылка), версия политики, дата и IP. Чекбокс не отмечают заранее — пользователь ставит его сам, рядом держат ссылку на политику.
При смене версии политики решают, собирать согласие заново или считать прежнее действующим. Проверка простая: в базе должна быть запись с датой и версией, а не только флаг «согласен» без деталей.
Сроки и бюджет разработки
Регистрация — не только форма и кнопка. Общий ориентир — 1–3 недели, а где в нем окажется ваш проект, зависит от набора функций. Ближе к нижней границе — один канал: email или телефон с подтверждением, форма, хеш пароля, сессии и сброс доступа. Этого хватает, чтобы запустить сайт и посмотреть, как люди проходят регистрацию.
Ближе к верхней — если добавить вход через ID-сервисы, ссылку без пароля, защиту от перебора, хранение согласий и тесты. Тесты урезать не стоит: именно они ловят дыры до запуска.
SMS-шлюз в эти сроки не входит: это постоянный расход за каждое сообщение, его считают отдельно — от объема отправок и числа повторных запросов кода.
Если нужны история заказов, профиль, адреса и уведомления — это уже личный кабинет, и срок растет.
Когда нужен личный кабинет
Регистрация отвечает на вопрос «кто это». Личный кабинет — на вопрос «что у него есть»: заказы, бонусы, документы, настройки.
Разумнее запускать в два шага: сначала рабочий вход и регистрация, кабинет наращивать поверх.
Что проверить перед запуском
Приемку проверяют сценариями, а не одной отправкой формы.
- •Email: повторный адрес, неверный формат, письмо не пришло
- •Телефон: неверный и просроченный код, частая отправка
- •Вход и сброс пароля, закрытие старых сессий
- •OAuth: отказ в доступе, нет email у провайдера, привязка к существующему аккаунту
- •Magic link после истечения срока
Отдельно: пароль лежит как хеш, длина — по требованиям из технического раздела, лимиты попыток работают, согласие пишется в базу, данные в России, ошибки понятны, корзина не теряется после входа.
Сейчас: прогнать сценарии руками и открыть запись пользователя в базе.
Сделаем регистрацию, авторизацию и личный кабинет так, чтобы они прошли проверку по 152-ФЗ: разработка от 50 000 ₽, бесплатная оценка задачи — раздел «Сайты».
Источники
