Пользователь нажимает «Войти через Яндекс», подтверждает доступ, возвращается на сайт и снова попадает на вход. Такой цикл быстро ломает регистрацию и доверие.

Социальный вход должен сокращать путь до заявки или кабинета, а не создавать технический тупик.

Коротко: нужно проверить redirect_uri, state, cookies и создание сессии после callback.

Почему это происходит

Цикл появляется, если callback не сохраняет пользователя, сессия теряется из-за cookie-настроек, redirect_uri отличается от настроек приложения, state не проходит проверку или сайт смешивает HTTP и HTTPS.

Что проверить сначала

  • совпадает ли redirect_uri в коде и кабинете Яндекса
  • сохраняется ли state между запросами
  • создается ли пользователь или привязка аккаунта
  • выставляется ли session cookie
  • нет ли редиректа между HTTP и HTTPS

Как я решаю такую задачу

Я прохожу OAuth-поток пошагово и проверяю, на каком этапе сайт забывает авторизованного пользователя.

  • сравниваю настройки приложения Яндекс ID
  • проверяю callback и логи
  • исправляю cookies и HTTPS
  • настраиваю создание или привязку пользователя
  • тестирую вход новым и существующим аккаунтом

Что подготовить

  • ссылку на страницу входа
  • доступ к настройкам Яндекс OAuth
  • доступ к коду или админке
  • пример аккаунта для теста
  • описание фактического редиректа

Каким должен быть результат

После исправления пользователь должен вернуться на сайт уже авторизованным, без повторного запроса входа и без потери сессии.

Чего лучше не делать

Не отключайте проверку state. Она защищает OAuth-процесс от подмены и должна быть настроена, а не удалена.

FAQ

Почему локально работает, а на домене нет?

Часто отличаются redirect_uri, HTTPS или домен cookie.

Можно ли привязать Яндекс к существующему аккаунту?

Да, если есть понятное правило сопоставления по email или ручная привязка.

Что такое SameSite?

Настройка cookie, которая влияет на сохранение сессии при переходах между доменами.

Нужно ли хранить access token?

Только если он нужен для дальнейших запросов, и хранить его нужно безопасно.

Нужна похожая задача?

Напишите в Telegram @rabotator_support или оставьте заявку на сайте. Коротко опишите проблему, приложите ссылку или пример ошибки, и я скажу, как безопасно подойти к исправлению.

Итог

Зацикленный OAuth обычно чинится не одной строкой, а правильной связкой redirect, callback, session cookie и логики пользователя.