veilix.app/docs/decisions/D-012-auth.md

D-012. Вход по коду через свою стратегию Payload; оформление заказа на my.*

Статус: принято, 20.10.2026.

Решение

1. Входа по коду в Payload из коробки нет. Используем штатный механизм своих стратегий: коллекция customers с disableLocalStrategy и стратегией, которая читает нашу cookie сессии.
2. Коды и сессии — свои коллекции; коды и токены хранятся только как хэши.
3. Оформление заказа живёт на домене кабинета (my.*), а не на маркетинговом. Cookie сессии — только для хоста кабинета.

Рассмотренные варианты

1. Better Auth или Auth.js поверх Payload — ещё одна система со своими таблицами и миграциями.
2. Cookie на весь домен бренда (.veilix.app) — тогда маркетинговые страницы перестают быть полностью кэшируемыми, а cookie видят dev-поддомены.

Последствия

Маркетинговые сайты остаются без пользовательских cookies и полностью кэшируются.