Authentication: kimliğin gerçekten doğrulanması

Kavramı anlayalım

Authentication kimlik iddiasını güvenilir kanıtla doğrulama sürecidir. E-posta alanına isim yazmak kimlik doğrulama değildir. İstek cookie, bearer token, client certificate veya başka scheme ile kanıt sunabilir. Sunucu kanıtı doğrular, başarılıysa kullanıcıyı temsil eden principal ve claim’leri oluşturur. Hangi scheme’in doğruladığı ve claim’in kaynağı önemlidir.

Authentication ile authorization farklıdır. Bir çalışanın kimliği geçerli olabilir ama başka çalışanın maaş kaydını okumaya izni olmayabilir. Authentication başarılı olduktan sonra kaynak, işlem, tenant ve policy değerlendirilir. CORS kimlik doğrulamaz; HTTPS token’ı taşırken korur ama kullanıcının bu kaynağa hakkı olduğunu kanıtlamaz. JWT’yi Base64 açıp isim okumak da doğrulama değildir.

Oturumun bütün yaşam döngüsünü tasarla: ilk giriş, credential doğrulama, başarısız deneme, süre sonu, yenileme, çıkış ve hesabın kapatılması. Şifreler geri çözülebilir düz metin olarak tutulmaz; uygun password hashing ve rate limit gerekir. HTTP dersindeki akış güvenlik sisteminin kavramsal haritasıdır, hazır bir login uygulaması değildir. Sonraki dersler challenge, cookie, JWT ve OAuth farkını ayrıntılandırır.