в общем-то, если надо быть "безопаснее всех" - то это YubiKey, но, понятно, навязать всем пользователям их использование - это не на каждом проекте получится)

ну или как вариант подтверждать вход на доверенном устройстве

ну да

по сути, password через E-mail - это проверка через доверенный E-mail

а могло бы быть приложение на телефоне

У меня вопрос о хостинге. Нормальный вариант на период написания хоститься на Heroku, чтобы оперативно показывать варианты заказчику? Есть альтернативы?

мне нравится подход E-mail + OTP

VPS

Google Cloud

если сравнивать Heroku с Google Cloud (App Engine), то я не знаю плюсов Heroku, мб они есть)

там такой же PaaS, только дешевле)

спасибо!
@bakatrouble @julius425 вам тоже спасибо за наводки

Спасибо, посмотрю!!!

Heroku у нас в чате любит @amureki, но я не помню, чтобы он хотя бы раз говорил на тему "чем Heroku лучше AppEngine", мне было бы интересно и самому услышать плюсы одного PaaS'а перед другим...

я и на проде буду его использовать, т.к. экономит уйму времени.
о Хероку узнал по наводке опытного друга - Джанго-прогера с овер 10 лет стажа (сам я ламер).

у Хероку есть недостатки.
помимо очевидной негибкости и риска потратить кучу денег случайно нажав на кнопочку, если еще неочивидные недостатки. а именно heroku плохо подходит для мультитенантных SaaS с кастомными доменами для юзеров. там, например, чтобы подключить свой домен, надо втыкать их CNAME, а CNAME запрещает использование других DNS (например, MX для почты).

ты можешь сделать CNAME для www

не для всего домена

тогда получится использовать свои MX

да, я так и сделал. а apex домен резолвится через nginx на AWS EC2.
p.s. где ты раньше был))