Учётные записи и SSO: Часть 4 — Auth0

Auth0 — облачный сервис аутентификации: регистрацию, вход, хранение учётных записей и выдачу токенов он берёт на себя, а приложение подключается к нему через SDK и стандартные протоколы. С мая 2021 года Auth0 принадлежит компании Okta, которая купила его за 6,5 млрд долларов.

Что умеет

• Готовые страницы входа (Universal Login) и SDK для веб-, мобильных и серверных приложений.
• Протоколы OpenID Connect, OAuth 2.0 и SAML — вход в ваши приложения и подключение корпоративных провайдеров клиентов.
• Вход через внешних провайдеров — Google, Apple, GitHub и другие.
• Многофакторная аутентификация, защита от подбора паролей и подозрительных входов.
• Расширение логики с помощью Actions — фрагментов кода, которые выполняются при регистрации, входе и выдаче токена.
• Отдельные сценарии B2C и B2B: для B2B есть организации, корпоративный SSO для клиентов и ролевая модель по организациям.

Тарифы

Цены на сентябрь 2026 года по данным сайта Auth0 (при годовой оплате платят за 11 месяцев):

Платные тарифы растут вместе с числом активных пользователей (MAU), а часть функций — корпоративный SSO, расширенная MFA, межсервисные токены — подключается дополнительными модулями.

Чем удобен

• Скорость. Вход с регистрацией, сбросом пароля и соцсетями подключается за день, а не пишется неделями.
• Нет своей инфраструктуры. Обновления, масштабирование и доступность — забота поставщика.
• Документация и SDK для большинства популярных языков и фреймворков.

Ограничения

• Стоимость при росте. Бесплатного объёма хватает на старте, но с ростом числа пользователей и подключением платных модулей счёт растёт быстрее, чем расходы на собственный сервер вроде Keycloak.
• Привязка к поставщику. Правила в Actions, настройки и хеши паролей живут внутри Auth0; переезд на другую систему — отдельный проект, особенно если пользователи должны сохранить пароли.
• Данные у третьей стороны. Учётные записи хранятся в облаке поставщика в выбранном регионе.

Можно ли использовать в России

Для российской компании Auth0 практически неприменим по двум причинам.

• Оплата. Платные тарифы оплачиваются иностранной картой, а Visa и Mastercard, выпущенные в России, с марта 2022 года за рубежом не работают.
• Персональные данные. С 1 июля 2025 года первичный сбор персональных данных граждан России допускается только в базы на территории страны (ч. 5 ст. 18 Федерального закона № 152-ФЗ). Регистрация пользователей напрямую в зарубежном облачном сервисе этому требованию не соответствует.

Если ваши пользователи — граждане России, разумнее выбрать сервер аутентификации на собственном сервере в России: Keycloak или FusionAuth.

Типичные ошибки

• Выбрать Auth0 ради скорости и не посчитать стоимость при целевом числе пользователей.
• Держать бизнес-логику в Actions без копии в собственном репозитории.
• Не продумать заранее, как выгрузить пользователей при смене поставщика.

Когда выбирать

Auth0 оправдан для продукта, который работает на зарубежном рынке, должен быстро запуститься и готов платить за то, чтобы не содержать сервер аутентификации. Для российского проекта с пользователями из России он не подходит.