Методы входа и границы возможностей

MIX ID Provider работает с глобальным аккаунтом; Hosted Auth — с отдельным каталогом организации. Включение метода определяется клиентом, connection и серверной policy, а не рекламной таблицей возможностей.

Методы в текущем проекте

В исходном портале описаны password/Argon2id, WebAuthn/passkeys, TOTP и recovery codes, email OTP, magic links, проверка email и восстановление, upstream OIDC. Это перечень реализуемых механизмов, а не обещание, что все они включены для любого внешнего приложения.

• Password: secret обрабатывает identity provider; приложение не должно собирать пароль глобального аккаунта в своей форме.
• Passkeys: проверяются challenge, RP ID, origin и требуемая user verification. Browser HTTPS и доверенный origin обязательны.
• TOTP/recovery: защита от replay и атомарное потребление recovery proof; потеря фактора обрабатывается отдельным восстановлением.
• Email OTP/magic links: зависят от настроенной доставки; наличие endpoint не подтверждает работоспособность почты.
• Upstream OIDC: connection принадлежит каталогу и требует проверки issuer/audience/nonce. Совпавший email не создаёт связь с глобальным аккаунтом.

MFA/assurance и trust tier приложения — разные понятия. Нельзя выводить права сервиса из факта входа с passkey. Сертифицированный AAL3 не заявляется.

Не обещаем как готовые интеграции

SAML 2.0, LDAP bridge, SCIM и phone OTP в старом портале указаны как планы. Полноценный справочник появится после реализации и проверки контракта. Device Authorization ограничивается поддерживаемыми клиентами и политиками, хотя его endpoint указан в discovery.

Native host-only HttpOnly sessions, CSRF и first-party SSO Account/Console — внутренние продуктовые механизмы; стороннее приложение подключает Provider через OAuth/OIDC. Сессия одного продукта не является универсальным API credential.

OAuth/OIDC · SDK · Безопасность.