Сравнение способов входа
Что настраивает интегратор, что делает пользователь и сколько это занимает при первом и при повторном входе. Время других способов взято из опубликованных отчётов и наших замеров, время Veriqa — наш собственный замер. Ответы о настройке и уровни усилий — наша оценка, правила приведены под таблицей.
| Способ входа на сайт | Сложность настройки | Сценарий входа на сайт | Сложность для пользователя и время | ||
|---|---|---|---|---|---|
| Первый вход | Повторный вход | Время | |||
| Пароль |
Агент пишет код; почтового провайдера и DNS настраивает человек
Часы
Почтовый провайдер, без согласования
Хранение и хеширование паролей, форма регистрации, подтверждение почты, сброс пароля, почтовый провайдер, второй фактор, защита от перебора, поддержка пользователей, забывших пароль. |
Только пароль | ~30 с 3 | ||
| Со вторым фактором | ~69 с 1 | ||||
| SMS-код |
Агент пишет код; договор и регистрацию отправителя оформляет человек
Часы работы и дни ожидания
SMS-провайдер и операторы, с согласованием
Договор с SMS-провайдером, регистрация отправителя у операторов, генерация и проверка кодов, лимиты и защита от накрутки SMS, оплата каждого сообщения. |
~17 с 4 | |||
| Вход через соцсеть |
Агент пишет код; учётные записи разработчика и приложения заводит человек
Часы на каждого провайдера и ожидание проверки
Каждый провайдер, с проверкой приложения
Для каждого провайдера: учётная запись разработчика (у Apple платная), приложение, экран согласия, redirect URI, ключи, проверка приложения провайдером и свой код, который обрабатывает ответ и связывает аккаунты. |
30 с 6 3,4 с 6 | |||
| Passkey |
Агент пишет код; почтового провайдера для запасного входа настраивает человек
Минуты на сами passkey, часы — с запасным входом
Для самих passkey не нужна; для запасного входа — почтовый провайдер
Серверная библиотека WebAuthn, настройка RP ID и origin, таблица для публичных ключей пользователей, код регистрации и входа на сервере и на фронтенде. Секретов интегратор не создаёт. Нужен запасной вход на случай потерянного или нового устройства — обычно ссылка на почту, а для неё нужен почтовый провайдер. |
Ключ на этом же устройстве | 3–15 с 1 2 3 | ||
| Ключ на телефоне, вход на компьютере | 24 с 7 18 с 7 | ||||
| Veriqa |
Агент делает всё, кроме создания бота
15–30 минут
Мессенджер: бот в Telegram создаётся сразу, без согласования
Запустить контейнер, указать базу данных, создать бота и вписать его токен, выпустить два сертификата для токенов, описать OIDC-клиент, поставить сервис за обратный прокси и подключить приложение как к любому OIDC-провайдеру. |
На компьютере, автовход | 3,5 с 5 | ||
| На компьютере, с подтверждением | 6 с 5 | ||||
| На телефоне, автовход | 2,4 с 5 | ||||
| На телефоне, с подтверждением | 4 с 5 | ||||
Источники времени входа
- Microsoft Learn — Passkeys (FIDO2) authentication method in Microsoft Entra ID Вход с синхронизируемым passkey занимает 3 секунды против 69 секунд для пароля с традиционным вторым фактором. Данные по потребительским аккаунтам Microsoft.
- FIDO Alliance — Passkey Index, October 2025 Вход с passkey занимает в среднем 8,5 секунды. Данные предоставили девять компаний — участников альянса.
- Google Security Blog — Making authentication faster than ever: passkeys vs. passwords Вход занимает в среднем 14,9 секунды с passkey и 30,4 секунды с паролем. Данные примерно по 100 миллионам входов в аккаунты Google, март — апрель 2023 года.
- Google for Developers — Mercari's passkey authentication speeds up sign-in 3.9 times Вход по SMS-коду занимает в среднем 17 секунд. Данные Mercari по своим пользователям.
- Наш собственный замер в Telegram на телефоне, где мессенджер уже установлен и вход в него выполнен. При входе на компьютере пользователь открывает камеру, наводит её на QR-код и тапает ссылку; с подтверждением — ещё тапает «Подтвердить». В других мессенджерах время может отличаться.
- Наш замер входа через Google на странице входа Logto. Первый вход занял 30 секунд в браузере, где вход в Google уже был выполнен: Google всё равно запросил второй фактор. Повторный вход занял 3,4 секунды и один клик. В браузере без входа в Google к первому входу добавляется ввод пароля аккаунта.
- Наш замер passkey с ключом на телефоне, на той же странице входа Logto. Создание ключа заняло 24 секунды после тренировки и около минуты в самый первый раз; создание аккаунта в это время не входит. Повторный вход на компьютере занял 18 секунд.
В таблице время до 15 секунд выделено зелёным, более долгое — красным.
Два времени через косую черту — первый вход и повторный.
Там, где источники не дают времени первого входа, в таблице показано только время повторного.
Цифры собраны разными способами: опрос компаний, статистика одного вендора и наш собственный замер. Это порядок величин, а не результат одного эксперимента.
Как считаются усилия пользователя
Считаем, что делает пользователь в чистом браузере, без менеджера паролей: каждый клик, тап, сканирование и поле ввода. Сканирование QR-кода камерой телефона — одно действие.
- Одно-два действия, ничего не нужно вводить
- Три действия, ничего не нужно вводить
- Четыре действия и больше или одно поле ввода
- Два поля ввода
- Три поля ввода и больше
- Пароль
- Только пароль
- Первый вход Ввести почту и дважды пароль, затем открыть почтовый ящик и нажать ссылку подтверждения.
- Повторный вход Ввести логин и пароль.
- Со вторым фактором
- Первый вход Ввести почту и дважды пароль, затем открыть почтовый ящик и нажать ссылку подтверждения.
- Повторный вход Ввести логин и пароль, затем открыть другое приложение и ввести код второго фактора.
- SMS-код
- Первый вход Ввести номер телефона, дождаться SMS, ввести код.
- Повторный вход Ввести номер телефона, дождаться SMS, ввести код.
- Вход через соцсеть
- Первый вход Нажать кнопку, пройти второй фактор соцсети и принять экран согласия. В браузере без входа в соцсеть к этому добавляется ввод её логина и пароля.
- Повторный вход Нажать кнопку.
- Passkey
- Ключ на этом же устройстве
- Первый вход Создать аккаунт другим способом, обычно с паролем или кодом, затем создать ключ и подтвердить биометрией.
- Повторный вход Нажать кнопку и подтвердить отпечатком или лицом.
- Ключ на телефоне, вход на компьютере
- Первый вход Создать аккаунт другим способом, обычно с паролем или кодом, затем создать ключ и подтвердить биометрией.
- Повторный вход Нажать кнопку, выбрать другое устройство, отсканировать QR-код телефоном и подтвердить на нём биометрией. Bluetooth должен быть включён.
- Veriqa
- На компьютере, автовход
- Первый вход Отсканировать QR-код камерой телефона и тапнуть ссылку.
- Повторный вход Отсканировать QR-код камерой телефона и тапнуть ссылку.
- На компьютере, с подтверждением
- Первый вход Отсканировать QR-код камерой телефона, тапнуть ссылку и тапнуть «Подтвердить».
- Повторный вход Отсканировать QR-код камерой телефона, тапнуть ссылку и тапнуть «Подтвердить».
- На телефоне, автовход
- Первый вход Тапнуть кнопку мессенджера на странице входа.
- Повторный вход Тапнуть кнопку мессенджера на странице входа.
- На телефоне, с подтверждением
- Первый вход Тапнуть кнопку мессенджера на странице входа и тапнуть «Подтвердить».
- Повторный вход Тапнуть кнопку мессенджера на странице входа и тапнуть «Подтвердить».
Как оценивается настройка
Три вопроса по каждому способу: может ли ИИ-агент выполнить всю настройку, сколько времени тратит человек и нужно ли привлекать третью сторону. Зелёный — интегратора ничто не держит, красный — он ждёт кого-то ещё или многое делает руками. Ответы — наша оценка; измерено только время Veriqa.
- Пароль
- Агент пишет код; почтового провайдера и DNS настраивает человек Часы Почтовый провайдер, без согласования
- Хранение и хеширование паролей, форма регистрации, подтверждение почты, сброс пароля, почтовый провайдер, второй фактор, защита от перебора, поддержка пользователей, забывших пароль.
- SMS-код
- Агент пишет код; договор и регистрацию отправителя оформляет человек Часы работы и дни ожидания SMS-провайдер и операторы, с согласованием
- Договор с SMS-провайдером, регистрация отправителя у операторов, генерация и проверка кодов, лимиты и защита от накрутки SMS, оплата каждого сообщения.
- Вход через соцсеть
- Агент пишет код; учётные записи разработчика и приложения заводит человек Часы на каждого провайдера и ожидание проверки Каждый провайдер, с проверкой приложения
- Для каждого провайдера: учётная запись разработчика (у Apple платная), приложение, экран согласия, redirect URI, ключи, проверка приложения провайдером и свой код, который обрабатывает ответ и связывает аккаунты.
- Passkey
- Агент пишет код; почтового провайдера для запасного входа настраивает человек Минуты на сами passkey, часы — с запасным входом Для самих passkey не нужна; для запасного входа — почтовый провайдер
- Серверная библиотека WebAuthn, настройка RP ID и origin, таблица для публичных ключей пользователей, код регистрации и входа на сервере и на фронтенде. Секретов интегратор не создаёт. Нужен запасной вход на случай потерянного или нового устройства — обычно ссылка на почту, а для неё нужен почтовый провайдер.
- Veriqa
- Агент делает всё, кроме создания бота 15–30 минут Мессенджер: бот в Telegram создаётся сразу, без согласования
- Запустить контейнер, указать базу данных, создать бота и вписать его токен, выпустить два сертификата для токенов, описать OIDC-клиент, поставить сервис за обратный прокси и подключить приложение как к любому OIDC-провайдеру.