Ради эксперимента решил сделать UI для auth-портала. Отдельный домен, изолированная история — чтобы не зависеть от конкретного бэкенда и IdP. Давно руками в интерфейсы не лез — стало интересно, как сейчас «правильно».
Пошёл смотреть, что происходит на рынке. И внезапно — пароли почти никто уже не любит.

Самый популярный подход сейчас — passwordless.
Без «придумайте сложный пароль из 12 символов, включая спецсимволы и кровь единорога».

Если вход по телефону — OTP код.
Если по email — magic link. Нажал в письме — ты внутри.

Я сначала скептически относился к магической ссылке. Казалось, что это дольше и неудобнее. Но если честно — потери времени нет вообще. Особенно если сессия живёт 30–60 дней и не выкидывает тебя каждую неделю.

Зато:
– нет восстановления пароля
– нет «неверный пароль»
– нет хранения хэшей
– меньше точек атаки
– проще UX

Интересно, какие крупные сервисы вы знаете, которые полностью отказались от паролей?

Удобно вам так заходить? Или всё-таки пароль + менеджер паролей спокойнее?