Authentication, het oppervlak dat elke klant audit, gebouwd om dat te passeren.
Authentication zijn twee oppervlakken die dezelfde naam dragen. Er is de consumer-flow (sign up, sign in, MFA, password reset) en de enterprise-flow (SSO, SCIM, session policies, audittrails). We bouwen beide tegen hetzelfde identity-model zodat geen van beide erop is geplakt. Het resultaat leest als bedoeld voor een security reviewer, niet uit een quickstart in elkaar gezet.
Wat we bouwen
Sessions boven JWTs, waar elk past
Server-side sessions voor de applicatie, met een nette rotate-on-elevation flow. JWTs waar ze het verdienen (service-to-service, mobile API tokens). We grijpen niet naar JWTs omdat ze trending zijn; we gebruiken ze waar de trade-off zich daadwerkelijk uitbetaalt.
MFA die gebruikers niet pusht om hem uit te zetten
TOTP als default, WebAuthn voor klanten die phishing-resistant auth nodig hebben, SMS alleen waar de doelgroep het vereist. Backup codes één keer gegenereerd en als hashes opgeslagen. De recovery-flow omzeilt niet per ongeluk MFA.
Session-policies server-side afgedwongen
Per-tenant session-lifetimes, idle-timeouts, IP/geo-restricties en concurrent-session-limits. Klanten configureren ze in hun admin; de server dwingt ze af op elke authenticated request. De audit log bewijst het.
Password-hygiëne die echt up-to-date is
Argon2id met huidige parameters, breach-corpus-check op signup en reset (HaveIBeenPwned k-anonymity), en rate limits op elk credential-oppervlak. Wij leveren op geen NIST-2017 regels in 2026.
Audit log op elk auth-event
Sign-ins (successful + failed), MFA-challenges, password-resets, session-terminations, admin-impersonaties, allemaal weggeschreven met actor, IP, user-agent en uitkomst. Klanten kunnen hun slice exporteren; wij kunnen 'wie logde in wanneer' beantwoorden zonder grep.
Account recovery die social engineering overleeft
Recovery-flows die niet op email-alleen-bewijzen leunen. Multi-channel verificatie voor gevoelige accounts. Admin-bemiddelde recovery voor enterprise-tiers. De flow waarvan jij comfortabel zou zijn om hem op het account van een beurs-genoteerde klant te draaien.
Waar dit past
Je auth was in 2022 met Auth0 erop geplakt en de klanten die om advanced session-policies en SCIM vragen maken duidelijk dat het tijd is voor een echte identity-laag.
Je bent voorbij het prototype en een security-questionnaire is het volgende dat op het bureau van het sales-team landt.
Je MFA is SMS-only en de volgende enterprise-klant vereist phishing-resistant WebAuthn.
Tech stack
- TypeScript
- WorkOS
- Lucia
- Argon2
- JWT (where it earns it)
Wil je dit voor je team?
30 minuten met een oprichter of ervaren ontwikkelaar. We bepalen wat je nodig hebt en zeggen je eerlijk of Stacklane past.
Plan een gesprekVerwante capabilities