Аутентификация по magic link.

Беспарольный сценарий входа, при котором пользователь получает одноразовый URL по почте или SMS, и переход по нему аутентифицирует сессию. Относится к категории Идентификация и доступ в кибербезопасности.

Беспарольный сценарий входа, при котором пользователь получает одноразовый URL по почте или SMS, и переход по нему аутентифицирует сессию.

Аутентификация по magic link заменяет шаг ввода пароля одноразовым URL с ограниченным сроком жизни, доставляемым по каналу, которым пользователь уже владеет — обычно основная почта или подтверждённый телефон. В ссылке закодирован недолговечный подписанный токен (часто JWT или opaque nonce), который приложение проверяет и обменивает на сессию. Slack, Notion, Substack, Vercel и многие SaaS используют magic link как основной поток, поскольку он устраняет проблемы повторного использования и хранения паролей. NIST SP 800-63B классифицирует его как out-of-band-аутентификатор (AAL2) при достаточной независимости канала. Риски: фишинг ссылки, перехват почты, AiTM-релеи. Митигации: короткие TTL, привязка к устройству, одноразовые токены и сочетание с passkey или проверкой доверия устройства.

Защита от Аутентификация по magic link обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: Magic link по почте, Одноразовая ссылка для входа, Беспарольная ссылка.