OAuth 2.0
OAuth permite un acceso limitado a recursos protegidos. Un permiso para usar una API no demuestra automáticamente la identidad de la persona conectada.
OAuth 2.0 es un marco para autorizar el acceso a recursos protegidos. Un servicio puede recibir un token de acceso sin obtener la contraseña personal del propietario del recurso.
Un permiso limitado
En un ejemplo hipotético, un servicio de análisis puede leer pedidos, pero no modificarlos. Los derechos concedidos y el recurso de destino limitan el uso del token. El servicio que lo acepta debe comprobar esos límites.
OAuth no es, por sí solo, un método para demostrar la identidad de una persona conectada. Poseer un token tampoco permite cualquier acción. Una implementación segura necesita recomendaciones de seguridad actuales; los ejemplos antiguos de flujos no bastan por sí solos.
Fuentes
Términos relacionados
- APIUna API define cómo un programa puede utilizar funciones o datos ofrecidos por otro programa.
- Gestión de identidades y accesosIAM combina identidades digitales y derechos de acceso. Las cuentas, los cambios de función y la retirada de permisos antiguos están relacionados.
- Principio de mínimo privilegioEl mínimo privilegio limita los permisos a la tarea necesaria y a su alcance. El trabajo requerido sigue siendo posible y se retiran los permisos innecesarios.
- WebAuthnWebAuthn es la API del navegador para acceder con claves públicas. El servidor debe verificar la respuesta antes de aceptar la autenticación.
- PasskeyUna passkey permite acceder con un par de claves vinculado al servicio. Los cambios de dispositivo, la recuperación y los permisos requieren decisiones propias.
- Control de acceso basado en atributosABAC evalúa accesos mediante propiedades y reglas definidas. El origen y la vigencia de esas propiedades forman parte del diseño.
Su proyecto con ASES
Descríbanos su proyecto. Le responderemos con una primera valoración.