10Jul
Si alguna vez usó un botón de "Iniciar sesión con Facebook" o si una aplicación de terceros tiene acceso a su cuenta de Twitter, habrá usado OAuth. También lo utilizan Google, Microsoft y LinkedIn, así como muchos otros proveedores de cuentas. Esencialmente, OAuth le permite otorgarle a un sitio web acceso a cierta información sobre su cuenta sin darle la contraseña de su cuenta real.
OAuth para iniciar sesión en
OAuth tiene dos propósitos principales en la web en este momento. A menudo, se usa para crear una cuenta y para iniciar sesión en un servicio en línea de manera más conveniente. Por ejemplo, en lugar de crear un nuevo nombre de usuario y contraseña para Spotify, puede hacer clic o tocar "Iniciar sesión con Facebook".El servicio verifica quién eres en Facebook y crea una nueva cuenta para ti. Cuando se registre en ese servicio en el futuro, verá que inicia sesión con la misma cuenta de Facebook y le da acceso a su cuenta. No necesita configurar una nueva cuenta ni nada, en su lugar, Facebook lo autentica.
Esto es muy diferente de simplemente darle al servicio la contraseña de su cuenta de Facebook, sin embargo. El servicio nunca obtiene la contraseña de su cuenta de Facebook o acceso completo a su cuenta. Solo puede ver algunos detalles personales limitados, como su nombre y dirección de correo electrónico. No puede ver tus mensajes privados o publicar en tu Timeline.
Aquellos "Iniciar sesión con Twitter", "Iniciar sesión con Google", "Iniciar sesión con Microsoft", "Iniciar sesión con LinkedIn" y otros botones similares para otros sitios web funcionan de la misma manera, para
OAuth para aplicaciones de terceros.
OAuth también se utiliza cuando las aplicaciones de terceros acceden a cuentas como sus cuentas de Twitter, Facebook, Google o Microsoft. Permite que estas aplicaciones de terceros accedan a partes de su cuenta. Sin embargo, nunca obtienen la contraseña de su cuenta. Cada aplicación recibe un token de acceso único que limita el acceso que tiene para su cuenta. Por ejemplo, una aplicación de terceros para Twitter solo puede tener la capacidad de ver sus tweets, pero no publicar nuevos tweets. Ese token de acceso único puede revocarse en el futuro, y solo esa aplicación específica perderá acceso a su cuenta.
Como otro ejemplo, puede otorgar a una aplicación de terceros acceso solo a sus correos electrónicos de Gmail, pero restringirlo para que no haga nada más con su cuenta de Google.
Esto es muy diferente de simplemente darle a una aplicación de terceros la contraseña de su cuenta y permitir que inicie sesión. Las aplicaciones están limitadas en lo que pueden hacer, y ese token de acceso único significa que el acceso a la cuenta puede revocarse en cualquier momento sin cambiar sucontraseña principal y sin revocar el acceso de otras aplicaciones.
Cómo funciona OAuth
Probablemente no verá aparecer la palabra "OAuth" cada vez que la utilice. Los sitios web y las aplicaciones solo te solicitarán que inicies sesión con Facebook, Twitter, Google, Microsoft, LinkedIn u otro tipo de cuenta.
Cuando elija una cuenta, se lo dirigirá al sitio web del proveedor de la cuenta, donde deberá iniciar sesión con esa cuenta si aún no ha iniciado sesión. Si ha iniciado sesión, ¡excelente! Ni siquiera tiene que ingresar una contraseña.
Asegúrate de que en realidad te dirijan a Facebook, Twitter, Google, Microsoft, LinkedIn o cualquier otro sitio web de otro servicio con una conexión segura HTTPS antes de escribir tu contraseña. Esta parte del proceso parece madura para el phishing, ya que los sitios web maliciosos podrían pretender ser el sitio web del servicio real en un intento de capturar su contraseña.
Dependiendo de cómo funciona el servicio, puede iniciar sesión automáticamente con un poco de información personal, o puede ver un aviso para dar acceso a la aplicación a parte de su cuenta. Incluso puede elegir a qué información desea dar acceso a la aplicación.
Una vez que hayas dado acceso a la aplicación, ya está hecho. Su servicio preferido le otorga al sitio web o la aplicación un token de acceso único. Almacena ese token y lo usa para obtener acceso a estos detalles sobre su cuenta en el futuro. Dependiendo de la aplicación, esto se puede usar solo para autenticarte cuando inicias sesión, o para acceder automáticamente a tu cuenta y hacer cosas en segundo plano. Por ejemplo, una aplicación de terceros que escanea su cuenta de Gmail puede acceder regularmente a sus correos electrónicos para que pueda enviarle una notificación si encuentra algo.
Cómo ver y revocar el acceso desde aplicaciones de terceros
Puede ver y administrar la lista de sitios web y aplicaciones de terceros que tienen acceso a su cuenta en el sitio web de cada cuenta. Es una buena idea verificarlos de vez en cuando, ya que puede haber dado acceso una vez a su información personal a un servicio, dejar de usarlo y olvidar que el servicio aún tiene acceso. Limitar los servicios que tienen acceso a su cuenta puede ayudar a protegerla y proteger sus datos privados.
Para obtener información técnica más detallada sobre la implementación de OAuth, visite el sitio web de OAuth.