#auth

The two documents a service reads to validate one of our JWTs — the discovery doc and the JWKS — are the most-requested, least-secret things we serve, and every fetch used to come all the way back to origin. Caching them on Cloudflare was the easy part. The hard part is that a stale public-key cache must never reject a valid token, and here's the rotation-safe ordering that makes an aggressively-cached JWKS safe.

OIDC ou SAML ? Vous avez rarement le choix. Ce qu'est chaque protocole, quand chacun l'emporte, les pièges de signature XML qui rendent SAML dangereux à implémenter soi-même, et pourquoi un produit B2B finit par avoir besoin des deux.

OIDC 还是 SAML？你很少有选择权。两种协议各自是什么、各自在什么场景下胜出、让 SAML 难以自行实现的 XML 签名陷阱，以及为什么一款 B2B 产品最终两者都需要。

Una sola clave privada firma todos los tokens que emite nuestro servidor de autenticación, y a lo largo de su vida se ha mudado dos veces: nació dentro del proceso, fue desterrada a una bóveda de la que no puede salir y luego se reencarnó en un tipo de clave completamente distinto, más pequeño y más rápido. Cada mudanza ocurrió en un emisor en producción, con tokens en circulación.

One private key signs every token our auth server issues, and it has moved twice in its life: born inside the process, exiled to a vault it can't leave, then reincarnated as a smaller, faster kind of key entirely. Each move happened on a live issuer with tokens in flight. Here's what custody and algorithm changes actually take, and the quiet regression that rode in on a "more secure" commit.

¿OIDC o SAML? Rara vez te toca elegir. Qué es cada protocolo, cuándo gana cada uno, las trampas de la firma XML que hacen peligroso implementar SAML a mano y por qué un producto B2B acaba necesitando ambos.

Auth Trends Introduction The topic of authentication in modern applications is...

Test Descope passwordless auth and session verification without a real Descope project, and catch the common JWT verification bug before it ships.

Single sign-on means trusting the identity provider. We trusted it for one thing too many: we resolved returning federated users by the email in the assertion, so any connection could assert someone else's address and land on their account. The fix wasn't more validation. It was changing the identity join key from email to a per-provider subject the asserting party can't forge.

O "imposto de funcionalidade" como uma fatura real. Três cenários de comprador (primeiro contrato enterprise, um punhado de clientes, SSO como requisito básico) calculados frente às tarifas públicas de cada fornecedor. Mais a sobretaxa silenciosa que ninguém avisa: ficar sem clientes OAuth no meio da integração.

Azure Container Apps promised to stop us paying for an idle auth cluster. We costed the migration and killed it, not over price or cold starts, but because serverless is missing the only number a leader-elected auth backplane actually needs.

Azure Container Apps prometía que dejáramos de pagar por un clúster de autenticación inactivo. Calculamos el coste de la migración y la descartamos, no por el precio ni por los arranques en frío, sino porque al serverless le falta el único número que una backplane de autenticación con elección de líder realmente necesita.