¿Qué es OAuth? Cómo funcionan esos botones de inicio de sesión de Facebook, Twitter y Google

Si alguna vez ha usado el botón "Iniciar sesión con Facebook", o le ha dado acceso a una aplicación de terceros a su cuenta de Twitter, ha usado OAuth. También es utilizado por Google, Microsoft y LinkedIn, así como por muchos otros proveedores de cuentas. Esencialmente, OAuth le permite otorgar a un sitio web acceso a cierta información sobre su cuenta sin darle su contraseña de cuenta real.

OAuth para iniciar sesión

OAuth tiene dos propósitos principales en la web en este momento. A menudo, se utiliza para crear una cuenta e iniciar sesión en un servicio en línea más convenientemente. Por ejemplo, en lugar de crear un nuevo nombre de usuario y contraseña para Spotify, puede hacer clic o tocar "Iniciar sesión con Facebook". El servicio verifica quién eres en Facebook y crea una nueva cuenta para ti. Cuando inicie sesión en ese servicio en el futuro, verá que ha iniciado sesión con la misma cuenta de Facebook y le da acceso a su cuenta. No es necesario configurar una nueva cuenta o cualquier cosa, Facebook lo autentica en su lugar.

Sin embargo, esto es muy diferente de simplemente dar al servicio la contraseña de su cuenta de Facebook. El servicio nunca obtiene la contraseña de su cuenta de Facebook ni el acceso total a su cuenta. Solo puede ver algunos detalles personales limitados, como su nombre y dirección de correo electrónico. No puede ver sus mensajes privados o publicar en su línea de tiempo.

Esos "Iniciar sesión con Twitter", "Iniciar sesión con Google", "Iniciar sesión con Microsoft", "Iniciar sesión con LinkedIn" y otros botones similares para otros sitios web funcionan de la misma manera, para

OAuth para aplicaciones de terceros

OAuth también se usa al otorgar acceso a aplicaciones de terceros a cuentas como sus cuentas de Twitter, Facebook, Google o Microsoft. Permite que estas aplicaciones de terceros accedan a partes de su cuenta. Sin embargo, nunca obtienen la contraseña de su cuenta. Cada aplicación obtiene un token de acceso único que limita el acceso que tiene para su cuenta. Por ejemplo, una aplicación de terceros para Twitter solo puede tener la capacidad de ver tus tweets, pero no publicar nuevos tweets. Ese token de acceso único se puede revocar en el futuro y solo esa aplicación específica perderá el acceso a su cuenta.

Como otro ejemplo, puede otorgar acceso a una aplicación de terceros solo a sus correos electrónicos de Gmail, pero restringirlo para que no haga nada más con su cuenta de Google.

Esto es muy diferente a simplemente proporcionarle a una aplicación de terceros la contraseña de su cuenta y dejar que inicie sesión. Las aplicaciones están limitadas en lo que pueden hacer, y ese token de acceso único significa que el acceso a la cuenta se puede revocar en cualquier momento sin cambiar su principal. Contraseña y sin revocar el acceso desde otras aplicaciones..

Cómo funciona OAuth

Probablemente no verá aparecer la palabra "OAuth" cuando la esté usando. Los sitios web y las aplicaciones solo le pedirán que inicie sesión con su cuenta de Facebook, Twitter, Google, Microsoft, LinkedIn u otro tipo de cuenta..

Cuando elija una cuenta, se le dirigirá al sitio web del proveedor de la cuenta, donde tendrá que iniciar sesión con esa cuenta si no ha iniciado sesión actualmente. ¡Si ha iniciado sesión en grande! Ni siquiera tienes que introducir una contraseña.

¡Asegúrese de estar realmente dirigido a Facebook, Twitter, Google, Microsoft, LinkedIn o cualquier otro sitio web de servicio con una conexión HTTPS segura antes de escribir su contraseña! Esta parte del proceso parece madura para el phishing, ya que los sitios web maliciosos podrían pretender ser el sitio web del servicio real en un intento de capturar su contraseña.

Dependiendo de cómo funciona el servicio, puede iniciar sesión automáticamente con un poco de información personal, o puede ver un mensaje para dar acceso a la aplicación a algunas de sus cuentas. Incluso puede elegir a qué información desea dar acceso a la aplicación..

Una vez que hayas dado el acceso a la aplicación, se hace. Su servicio de elección le da al sitio web o la aplicación un token de acceso único. Almacena ese token y lo usa para obtener acceso a estos detalles sobre su cuenta en el futuro. Dependiendo de la aplicación, esto se puede usar solo para autenticarlo cuando inicia sesión, o para acceder automáticamente a su cuenta y hacer cosas en segundo plano. Por ejemplo, una aplicación de terceros que escanea su cuenta de Gmail puede acceder regularmente a sus correos electrónicos para que pueda enviarle una notificación si encuentra algo..

Cómo ver y revocar el acceso desde aplicaciones de terceros

Puede ver y administrar la lista de sitios web y aplicaciones de terceros que tienen acceso a su cuenta en el sitio web de cada cuenta. Es una buena idea revisarlos de vez en cuando, ya que una vez haya dado acceso a su información personal a un servicio, dejó de usarlo y olvidó que el servicio aún tiene acceso. Limitar los servicios que tienen acceso a su cuenta puede ayudar a protegerlo y a sus datos privados.

Para obtener información técnica más detallada sobre la implementación de OAuth, visite el sitio web de OAuth.