Практика для ИТ-команд
Доступ без лишней сложности.
Разбираем единый вход, MFA, Active Directory, Keycloak и внедрение в инфраструктуре российских компаний.
Как обосновать руководству шлюз доступа на цифрах, рисках и часах DevOps
Финансовый директор не понимает слова SAML, OIDC и Kerberos. Ему нужны сэкономленные часы, предотвращенные убытки от простоев и понятный ROI. Разбираем, как защитить бюджет на шлюз доступа OwnGate на языке бизнеса и сухих цифр.
Zero Trust на 100 сотрудников: как построить периметр без бюджета банка
Маркетологи внушили бизнесу, что архитектура нулевого доверия доступна только корпорациям с миллиардными бюджетами. Разбираем, как компании на 50–200 человек внедрить честный Zero Trust за выходные с помощью шлюза OwnGate.
1С и единый вход: где заканчиваются иллюзии и как реально защитить базу
Опубликовать веб-клиент 1С наружу через стандартный Apache — верный способ подарить бухгалтерию сканерам уязвимостей. Разбираем реальные механизмы авторизации в 1С:Предприятие 8.3 и то, как безопасно завернуть базу в шлюз с 2FA.
Атака на веб-панели: как отсечь подбор паролей на внутренние сервисы
Выставить корпоративную почту, VPN-портал или GitLab наружу без шлюза — значит гарантировать круглосуточный обстрел ботнетами через Password Spraying. Разбираем, почему fail2ban не спасает от умного перебора и как отсекать атаки централизованно.
Миф о смене паролей каждые 30 дней: почему NIST против, а админы страдают
Требовать от сотрудников менять пароли каждый месяц — лучший способ получить желтые стикеры на мониторах и пароли вида Весна2026!. Разбираем, почему стандарты NIST давно запретили принудительную ротацию и что реально защищает учетные записи.
Доступ для подрядчиков: как пустить аутсорс и не забыть отозвать права
Подрядчики приходят на двухнедельный спринт, а их доменные учётки и VPN-ключи остаются жить в компании годами. Разбираем, как организовать безопасный доступ для аутсорса с жестким сроком жизни, узким скоупом прав и автоматическим отзывом.
Логи и ошибки только для своих: закрываем Sentry и Kibana единым контуром
Стектрейсы в Sentry и логи в Kibana — настоящая золотая жила для злоумышленника: там светятся боевые токены, пароли к базам и персональные данные клиентов. Рассказываем, как закрыть системы мониторинга и трассировки за единым SSO-шлюзом с 2FA.
Битрикс24 и корпоративный доступ: как подружить портал с единым входом
Штатный модуль AD/LDAP в «Битрикс24: Корпоративный портал» славится зависаниями при синхронизации и дублированием профилей при смене фамилий. Разбираем, как связать коробку Битрикса со шлюзом доступа и включить полноценный SSO со вторым фактором.
«Кто заходил в субботу?»: как один журнал аудита экономит недели нервов
Когда в понедельник утром база продакшна оказывается пустой или в сеть утекают клиентские данные, дежурные админы начинают раскопки по десяткам разрозненных логов. Разбираем, как сквозной аудит сессий в OwnGate восстанавливает хронологию за пару кликов.
Почему компании бегут из зарубежных облачных IdP на свои сервера
Внезапные блокировки аккаунтов, долларовые счета за каждого пользователя и пинг в 200 мс до европейских дата-центров заставляют бизнес переосмыслить подход к авторизации. Разбираем, почему полный On-Premise шлюз доступа стал главным трендом 2026 года.
Kerberos и удалёнка: почему «бесшовный вход» умирает за пределами офиса
Windows Integrated Authentication (IWA / Kerberos) кажется магией в офисной сети: нажал на ссылку и ты внутри. Но стоит сотрудникам уйти на удалёнку, как билеты протухают, рассинхрон часов ломает всё, а сисадмины тонут в тикетах. Разбираем, почему будущее за OIDC.
Backchannel Logout на пальцах: как выбить сессии из всех приложений разом
Нажать «Выйти» на шлюзе и надеяться, что браузер закроет сессии во всех тридцати открытых вкладках — опасная наивность. Разбираем спецификацию OIDC Backchannel Logout и то, как сервер-серверные запросы моментально тушат доступ везде.
Жизнь токена: почему Access Token на 24 часа — преступление
Выпустить JWT со сроком жизни на сутки или неделю — верный способ превратить утечку в катастрофу, которую невозможно остановить. Разбираем, почему Access Token должен жить 5–15 минут, и как правильно настроить ротацию Refresh Token.
Корпоративный чат без бывших коллег: интеграция Mattermost со шлюзом
Уволили сотрудника из Active Directory, но забыли про сессии в мобильном приложении Mattermost? Он продолжит читать закрытые каналы руководства и коммерческие тайны ещё месяц. Разбираем, как связать чат со шлюзом по OIDC и мгновенно выбивать сессии.
Вложенные группы в AD: как не положить контроллер домена рекурсией
Магия LDAP_MATCHING_RULE_IN_CHAIN кажется спасением, пока двадцать сервисов не начинают опрашивать вложенные группы одновременно. Разбираем, почему рекурсивный поиск в Active Directory вешает CPU контроллера на 100% и как нормализовать группы через шлюз доступа.
OIDC против SAML: почему монструозный XML из нулевых пора похоронить
Парсить мегабайты XML с каноникализацией и бояться XML Signature Wrapping — сомнительное удовольствие для инженера в 2026 году. Сравниваем SAML 2.0 и OpenID Connect на практике и объясняем, почему переход на JSON и JWT спасает проект.
Почему SMS-авторизация для внутренних сервисов мертва и опасна
Платить мобильным операторам сотни тысяч рублей за СМСки, которые перехватываются через SIM-своп или банальный просмотр экрана блокировки — сомнительная стратегия защиты. Разбираем, почему SMS как второй фактор пора вычеркнуть из корпоративных стандартов.
«Я разбил телефон с 2FA»: сценарий аварийного сброса без паники
Утеря смартфона с аутентификатором — главный повод для социального инжиниринга и хаоса в саппорте. Разбираем, как выстроить регламент экстренного сброса второго фактора, чтобы не пустить злоумышленника под видом плачущего сотрудника.
Корпоративное облако без паролей: подключаем Nextcloud к шлюзу доступа
Плагин user_ldap в Nextcloud обожает зависать при синхронизации и генерировать фантомные дубликаты пользователей. Разбираем, как перевести корпоративное файловое хранилище на чистый OIDC через OwnGate и решить проблему безопасного доступа раз и навсегда.
Дырка в заборе: 4 способа, которыми сотрудники обходят второй фактор
Включили обязательный 2FA и думаете, что периметр на замке? Показываем, как сотрудники находят обходные тропы через белые списки офисных IP, устаревшие протоколы и общие сервисные аккаунты, сводя всю защиту к нулю.
Как включить 2FA бухгалтерии и не получить бунт в первый же день
Разослать 30-страничный PDF со словами «RFC 6238 и сканируйте QR» — верный способ парализовать работу офиса и получить звонок от генерального. Рассказываем, как внедрить второй фактор без нервов, слёз и завала техподдержки.
Мониторинг под замком: настраиваем вход в Grafana через OIDC за 15 минут
Grafana с паролем admin или открытым анонимным доступом — мечта любого аудитора по безопасности. Разбираем, как за 15 минут подключить дашборды к единому SSO-шлюзу, закрыть дашборды вторым фактором и автоматически маппить роли админов и зрителей из групп AD.
MFA Fatigue: как хакеры заваливают пушами и почему TOTP надёжнее
Нажать «Да, это я» в мобильном пуше кажется идеальным пользовательским опытом, пока злоумышленник не начинает спамить запросами в 3 часа ночи. Разбираем, почему атака на измор ломает push-авторизацию и почему старый добрый TOTP надёжнее.
Как уволенный инженер полгода ходил в прод через забытую вики: анатомия факапа
Отключить доменную почту и заблокировать Active Directory — это только 20% оффбординга. Разбираем реальный кейс, как бывший сотрудник полгода спокойно заглядывал во внутренние сервисы, и почему ручной чек-лист увольнения всегда даёт сбой.
Почему прямой LDAP Bind в каждом сервисе — это мина замедленного действия
Раздавать пароль сервисной учётки AD каждому сервису и гонять LDAP Bind по локалке кажется простым решением, пока логи не утекут или контроллер домена не ляжет от сотен одновременных поисков. Разбираем, почему прямой LDAP пора отправить на свалку истории.
«Один пароль на весь отдел»: как убить культуру общих учёток
Логин admin в Grafana, общая почта info@ с паролем 123456 и стикеры на мониторах. Разбираем, чем опасны коллективные аккаунты и как безболезненно перевести команду на персонализированный доступ.
Туннель в никуда: почему блокировка в AD не сбрасывает сессии OpenVPN
Вы заблокировали пользователя в Active Directory, но удалёнщик продолжает сидеть в корпоративной сети. Разбираем, почему VPN не разрывает сокеты и как настроить мгновенный сброс.
Теневое ИТ на 100 человек: как отделы заводят сервисы в обход сисадмина
Маркетологи подняли Notion, сейлзы сидят в отдельном таск-трекере, а поддержка завела бота. Разбираем, почему запреты не работают и как вернуть контроль без духоты.
Бессмертные токены: почему смена пароля не спасёт от слива репозитория
Разработчик уволился, вы сменили ему пароль в AD, но его статический Personal Access Token продолжает пуллить код из GitLab. Разбираем анатомию скрытых бэкдоров.
Как связать GitLab с Active Directory и не раздавать пароли руками
Прямой LDAP-bind в gitlab.rb или единая точка входа? Разбираем, как перевести GitLab на OpenID Connect, включить централизованный MFA и автоматически отзывать доступ.
Бесплатный Keycloak, который стоит миллионы: 5 ловушек самостоятельного внедрения
«Зачем платить, если Keycloak бесплатный?» — сказал тимлид и утопил команду в дебрях Quarkus, Java SPI и сломанных миграций. Честный разбор, почему голый open-source IAM превращается в чёрную дыру.
Зомби-доступы: почему уволенный сотрудник всё ещё читает ваш GitLab
Вы нажали «Disable Account» в Active Directory, но бывший коллега всё так же пуллит прод-репозитории, листает Grafana и видит переписку. Разбираем, почему так происходит и как прекратить этот цирк.
Почему MFA в каждом сервисе не решает проблему доступа
Разбираем, почему отдельный второй фактор в GitLab, VPN и внутренних системах не заменяет единую точку управления доступом.