Регистрация и авторизация в TennisEdge: безопасный вход без паролей в браузере

17 августа 2026 года TennisEdge добавил полноценную систему авторизации. Это важный шаг: без безопасного входа нельзя запускать оплату и личный кабинет. В статье — все детали регистрации, входа и восстановления доступа.

Зачем своя система авторизации

Многие стартапы используют готовые решения: Auth0, Firebase, Google OAuth. Мы выбрали собственную реализацию. Причины:

• Полный контроль над данными пользователей
• Независимость от зарубежных сервисов (Google OAuth в РФ может быть недоступен)
• Возможность кастомизации процесса
• Отсутствие комиссии за аутентификацию

При этом безопасность на уровне enterprise: bcrypt, JWT, httpOnly cookies, защита от CSRF и XSS.

Как работает регистрация

Регистрация занимает 30 секунд. Пошагово:

1. Пользователь вводит email, пароль и имя
2. Проверяется сложность пароля (визуальный индикатор)
3. Аккаунт создаётся, но остаётся неактивным
4. На email отправляется письмо со ссылкой подтверждения
5. Клик по ссылке активирует аккаунт

Email verification критичен: без него возможны фейковые аккаунты и spam-регистрации.

Проверка сложности пароля

Индикатор показывает 4 уровня:

• Слабый — короткий, без цифр и символов
• Средний — 8+ символов, есть буквы и цифры
• Сильный — 10+ символов, есть спецсимволы
• Очень сильный — 12+ символов, комбинация всех типов

Пароль не блокируется, если он слабый, но индикатор предупредит.

Безопасность паролей

Пароли хранятся в виде bcrypt-хешей с 12 rounds. Это значит:

• Оригинальный пароль недоступен даже нам
• Даже если база данных утечёт — восстановить пароли невозможно
• Мы не используем md5/sha1 — только современный bcrypt
• Bcrypt рекомендуется OWASP для продакшена

Что это даёт клиенту: ваши учётные данные защищены на уровне банковских приложений.

JWT-сессии в httpOnly cookies

После успешного входа пользователь получает токен доступа (JWT) в httpOnly cookie с временем жизни 30 дней.

Это значит:

• Пароль не хранится в браузере
• Токен недоступен для JavaScript (защита от XSS)
• Автоматическая авторизация при возврате на сайт
• Работает на всех устройствах одновременно

Защита от CSRF и XSS

Cookie помечены флагами Secure и SameSite — это защита от CSRF-атак. Плюс Content Security Policy в headers, которая блокирует инъекции кода.

Восстановление пароля

Если пользователь забыл пароль, на странице входа есть ссылка «Забыли пароль?». Процесс:

1. Пользователь вводит email
2. Система отправляет письмо со ссылкой для сброса
3. Ссылка действует 1 час и одноразовая
4. Переход → ввод нового пароля → готово

Ссылка одноразовая и короткоживущая — это предотвращает атаки подбора.

Что если пользователь не получил письмо

Возможные причины:

• Письмо в папке «Спам»
• Опечатка в email
• Задержка доставки на стороне почтового сервиса

В личном кабинете есть кнопка «Отправить повторно» — можно запросить письмо ещё раз.

Восстановление доступа к аккаунту

Если пользователь потерял доступ к email:

• Пишет на support@tennisedge.ru с другого email
• Указывает известные данные аккаунта (имя, дата регистрации)
• Мы верифицируем личность
• Меняем email на новый

Это стандартная мера безопасности: нельзя просто так сменить email без верификации.

Что это даёт клиентам

• Быстрая регистрация за 30 секунд
• Безопасный вход без паролей в браузере
• 30-дневная сессия — не нужно логиниться каждый день
• Восстановление доступа через email
• Работа на всех устройствах

Ключевые цифры

Часто задаваемые вопросы

Можно ли входить через Google или Telegram?

Сейчас только email и пароль. Telegram Login и OAuth-провайдеры в планах.

Храните ли вы мои пароли?

Нет. Только bcrypt-хеши. Оригинальный пароль недоступен даже нам.

Что если я потерял доступ к email?

Пишите на support@tennisedge.ru с другого email. Мы верифицируем личность и поможем восстановить доступ.

Можно ли заходить с двух устройств?

Да. Сессия не привязана к устройству — телефон, ноутбук, планшет одновременно.

Как долго действует сессия?

30 дней. Затем нужно ввести пароль снова.

Что произойдёт, если кто-то узнает мой пароль?

Немедленно смените пароль в личном кабинете. Все старые сессии инвалидируются автоматически.

Есть ли двухфакторная аутентификация?

Пока нет. 2FA в планах на ближайшие спринты.

Можно ли удалить аккаунт?

Да, в Settings → Опасная зона. Все данные удаляются безвозвратно.

Что дальше

Авторизация — фундамент. Следующий шаг: полноценный личный кабинет с сигналами, аналитикой и банкролл-трекером.

Для знакомства с продуктом — изучите тарифы и track record.