Окремий OAuth-сервер — дорого в розробці та складно в підтримці. Laravel Sanctum дає змогу захистити REST API вашого застосунку за 2–5 днів, без надмірної архітектурної складності.
## Що таке Laravel Sanctum
Sanctum — офіційний пакет Laravel для легковагової API-автентифікації. Він підтримує два незалежні режими:
- **Токени персонального доступу (PAT)** — для мобільних додатків, CLI-клієнтів і зовнішніх API-інтеграцій
- **Cookie-автентифікація на основі сесій** — для SPA на Vue.js, React або Next.js, що живуть на тому ж домені
Обидва режими можна використовувати одночасно в одному Laravel-проєкті.
## Коли Sanctum — правильний вибір
Ми рекомендуємо Sanctum, коли:
- Мобільний додаток звертається до того самого Laravel-бекенда, що й вебсайт
- SaaS-платформа має кілька рівнів доступу: адміністратор, менеджер, клієнт
- Внутрішня корпоративна система потребує granular-дозволів без повноцінного OAuth
- Потрібна швидка інтеграція з фронтендом на Vue або React без сторонніх auth-провайдерів
Якщо ж проєкт вимагає повноцінного OAuth 2.0 з авторизацією третіх сторін — ми використовуємо Laravel Passport. Але для більшості бізнес-застосунків Sanctum є достатнім і значно простішим.
## Як ми налаштовуємо Sanctum у MaxiMoruM
Типовий проєкт включає такі кроки:
1. Встановлення `laravel/sanctum` через Composer та публікація конфігурації
2. Підключення middleware `auth:sanctum` до захищених маршрутів
3. Визначення token abilities (scopes): наприклад, `read:orders`, `write:products`, `manage:users`
4. Налаштування refresh-логіки та автоматичного відкликання протермінованих токенів
5. Захист від CSRF для cookie-режиму на SPA
Кожен токен може мати обмежений набір прав — користувач мобільного додатка не отримає доступ до адмін-функцій, навіть якщо токен буде перехоплено.
## Інтеграція з українськими сервісами
Sanctum-захищений API природно поєднується з вебхуками LiqPay, Monobank та Nova Poshta. Ми верифікуємо HMAC-підпис кожного вхідного вебхука та відхиляємо запити без валідного підпису — ще до того, як вони потраплять у бізнес-логіку.
## Результат для бізнесу
Замість окремого auth-сервера з власною інфраструктурою — один Laravel-застосунок із надійною, масштабованою автентифікацією. Час реалізації: від 2 до 5 робочих днів залежно від кількості ролей та інтеграцій.
Після впровадження Sanctum команда отримує чіткий audit trail: хто, коли і з якими правами звертався до API.
## Почніть з аудиту вашого API
Якщо ваш застосунок досі використовує самописну автентифікацію або застарілий JWT без ротації токенів — це технічний борг, який росте. Зв'яжіться з MaxiMoruM на maximorum.com, і ми проведемо безкоштовний аудит архітектури автентифікації вашого проєкту.
Laravel Sanctum: API-автентифікація для SaaS, мобільних додатків і SPA
D
