Безопасность интеграций MIX ID

Обязательны PKCE S256, одноразовый state/nonce, точный redirect URI, проверка подписи и claims, least-privilege scopes. Backend отвечает за authorization; SDK не может повысить trust tier.

Provider и Hosted Auth разделяют каталоги и правила consent. Одинаковый email не является доказательством идентичности. Не объединяйте пользователей без явного безопасного linking flow.

Браузерные FIRST_PARTY cookie-сессии не заменяют OAuth-контракт стороннего приложения. Не переносите внутренние Account/Console endpoints в свои клиентские библиотеки.

Access token и ID token имеют разные назначения. Refresh rotation/reuse требует корректной обработки повторов и logout. Не храните client secret в JavaScript. Не публикуйте секреты gateway, private keys и реальные токены в примерах.

Публичная документация не означает наличие generic signing API, произвольного Channel RPC, SAML/SCIM/LDAP либо сертифицированного AAL3. Планируемые возможности документируются отдельно от доступных.