10Jul
Als u ooit een knop "Aanmelden met Facebook" hebt gebruikt of een app-toegang van derden tot uw Twitter-account hebt gekregen, hebt u OAuth gebruikt. Het wordt ook gebruikt door Google, Microsoft en LinkedIn, evenals vele andere accountproviders. Met OAuth kunt u in principe een website toegang geven tot bepaalde informatie over uw account zonder uw accountwachtwoord.
OAuth voor aanmelden
OAuth heeft op dit moment twee belangrijke doelen op het internet. Vaak wordt het gebruikt voor het maken van een account en gemakkelijker aanmelden bij een online service. Bijvoorbeeld, in plaats van een nieuwe gebruikersnaam en wachtwoord voor Spotify te maken, kunt u klikken of tikken op "Aanmelden met Facebook".De service controleert wie je bent op Facebook en maakt een nieuw account voor je aan. Wanneer u zich in de toekomst bij die service aanmeldt, ziet u dat u zich aanmeldt met hetzelfde Facebook-account en toegang krijgt tot uw account. U hoeft geen nieuw account of iets aan te maken: Facebook authenticeert u in plaats daarvan.
Dit is heel anders dan alleen het geven van de service aan je Facebook-accountwachtwoord. De service krijgt nooit je Facebook-accountwachtwoord of volledige toegang tot je account. Het kan slechts een paar beperkte persoonlijke gegevens bekijken, zoals uw naam en e-mailadres. Het kan uw privéberichten niet bekijken of posten op uw tijdlijn.
Die "Aanmelden met Twitter", "Inloggen met Google", "Inloggen met Microsoft", "Aanmelden met LinkedIn" en andere soortgelijke knoppen voor andere websites werken op dezelfde manier, naar
OAuth voor toepassingen van derden
OAuth wordt ook gebruikt als u apps van derden toegang geeft tot accounts zoals uw Twitter-, Facebook-, Google- of Microsoft-accounts. Hiermee kunnen deze apps van derden toegang krijgen tot delen van uw account. Ze krijgen echter nooit uw accountwachtwoord. Elke toepassing krijgt een uniek toegangstoken dat de toegang voor uw account beperkt. Een externe toepassing voor Twitter kan bijvoorbeeld alleen de mogelijkheid hebben om uw tweets te bekijken, maar geen nieuwe tweets te posten. Dat unieke toegangstoken kan in de toekomst worden ingetrokken en alleen die specifieke app verliest de toegang tot uw account.
Als een ander voorbeeld, zou u een applicatie van derden toegang kunnen geven tot alleen uw Gmail-e-mails, maar deze beperken om iets anders te doen met uw Google-account.
Dit is heel anders dan gewoon een externe toepassing uw accountwachtwoord geven en laten inloggen. De apps zijn beperkt in wat ze kunnen doen, en dat unieke toegangstoken betekent dat de accounttoegang op elk gewenst moment kan worden ingetrokken zonder uwhoofdwachtwoord en zonder de toegang van andere apps in te trekken.
Hoe OAuth werkt
U zult waarschijnlijk het woord "OAuth" niet zien verschijnen wanneer u het gebruikt. Websites en apps vragen u om u aan te melden met uw Facebook, Twitter, Google, Microsoft, LinkedIn of een ander type account.
Wanneer u een account kiest, wordt u naar de website van de accountprovider geleid, waar u zich moet aanmelden met dat account als u momenteel niet bent aangemeld. Als u bent aangemeld - geweldig! U hoeft zelfs geen wachtwoord in te voeren.
Zorg ervoor dat je daadwerkelijk naar de echte Facebook, Twitter, Google, Microsoft, LinkedIn of welke website van een andere service wordt geleid met een beveiligde HTTPS-verbinding voordat je je wachtwoord typt! Dit deel van het proces lijkt rijp voor phishing, aangezien kwaadwillende websites zich kunnen voordoen als de website van de echte service in een poging om uw wachtwoord te achterhalen.
Afhankelijk van hoe de service werkt, wordt u mogelijk automatisch aangemeld met een beetje persoonlijke gegevens, of ziet u mogelijk een prompt om de toepassing toegang te verlenen tot een deel van uw account. U kunt zelfs kiezen naar welke informatie u de toepassing wilt geven.
Nadat u de app toegang heeft gegeven, is deze klaar. Uw service naar keuze geeft de website of applicatie een uniek toegangstoken. Het slaat dat token op en gebruikt het om in de toekomst toegang te krijgen tot deze details over je account. Afhankelijk van de toepassing kan dit alleen worden gebruikt om u te verifiëren wanneer u zich aanmeldt of om automatisch toegang te krijgen tot uw account en dingen op de achtergrond te doen. Een toepassing van derden die uw Gmail-account scant, heeft bijvoorbeeld regelmatig toegang tot uw e-mails zodat deze u een melding kan sturen als deze iets vindt.
Toegang bekijken en intrekken van toepassingen van derden
U kunt de lijst met websites en applicaties van derden bekijken en beheren die toegang hebben tot uw account op de website van elke account. Het is een goed idee om deze van tijd tot tijd te controleren, omdat u mogelijk ooit toegang hebt gegeven tot uw persoonlijke gegevens aan een service, deze niet langer gebruikt en bent vergeten dat de service nog steeds toegang heeft. Door de services te beperken die toegang hebben tot uw account, kunt u deze beveiligen en uw privégegevens beveiligen.
Bezoek de OAuth-website voor meer gedetailleerde technische informatie over het implementeren van OAuth.
