FRENES

Glosario · Seguridad y riesgos

OAuth

OAuth es un marco de autorización que permite a una aplicación obtener acceso limitado a otro servicio. En un uso habitual, usted autoriza a un agente a consultar su calendario sin entregarle su contraseña, mediante tokens emitidos a través del sistema de autorización del servicio.

OAuth: la explicación

En un proceso habitual, la aplicación le dirige al servicio que conserva sus datos. Allí inicia sesión si es necesario y revisa los permisos solicitados. Tras la autorización, la aplicación recibe un medio para obtener un token que presentará al solicitar operaciones permitidas. Su contraseña permanece en el servicio correspondiente. El marco de delegación está descrito aquí: https://www.rfc-editor.org/rfc/rfc6749.html. Los pasos concretos y las protecciones dependen del tipo de aplicación y de cómo esté implementada la conexión.

OAuth facilita conectar aplicaciones sin compartir las credenciales principales de su cuenta. Un agente puede consultar archivos o añadir citas con permisos definidos por el servicio. Esos permisos suelen expresarse mediante ámbitos de acceso. Su precisión varía: pueden permitir lectura, modificación o acceso a conjuntos más amplios de recursos. Por ello, conviene leer lo que autoriza realmente la pantalla de consentimiento y no valorar la conexión solo por el nombre o la descripción de la aplicación.

OAuth organiza la autorización, pero no define por sí solo un sistema completo de inicio de sesión que acredite su identidad ante la aplicación. OpenID Connect añade una capa de identidad para ese uso. Los tokens siguen siendo sensibles aunque no se comparta su contraseña. Además, algunas conexiones pueden renovarse sin pedirle permiso cada vez. Conviene saber dónde aparecen las aplicaciones conectadas y cómo retirar sus derechos cuando ya no necesite mantener activa una integración.

Un ejemplo concreto

Usted conecta un asistente a su calendario para organizar la semana. El servicio muestra los permisos solicitados, que permiten leer eventos, pero no modificarlos. El asistente puede detectar huecos libres y proponer una planificación. Para crear realmente una cita necesitaría permisos adecuados. Cuando deja de utilizarlo, elimina la conexión y revisa los ajustes del calendario para confirmar que la autorización de acceso también se ha retirado del servicio.

Por qué importa

OAuth importa porque un agente conectado puede acceder a recursos personales o profesionales. Antes de aceptar, compare los permisos solicitados con la tarea que espera realizar. Compruebe si el acceso puede mantenerse, qué normas aplica su organización y cómo desconectarlo. OAuth evita compartir la contraseña con esa aplicación en los procesos habituales, pero no demuestra que sea fiable ni que utilice de forma adecuada toda la información accesible.

Ideas equivocadas

  • Un botón de acceso basado en OAuth no significa que la aplicación reciba su contraseña: el servicio puede emitir tokens independientes, con permisos y duración determinados por la autorización concedida y por la configuración de la integración.
  • Una autorización OAuth no es automáticamente limitada ni inocua: una aplicación puede solicitar permisos amplios y conviene revisarlos incluso cuando la pantalla de consentimiento pertenece a un servicio legítimo que usted conoce y utiliza habitualmente.

Otros términos: seguridad y riesgos

salvaguardas
Las salvaguardas son medidas que limitan el comportamiento de un sistema de IA y las acciones que puede ejecutar.
entorno aislado
Un entorno aislado es un espacio de ejecución que restringe lo que un programa puede consultar o modificar fuera de sus límites.
mínimo privilegio
El mínimo privilegio es un principio de seguridad que concede únicamente los accesos necesarios para una tarea.
inyección de prompt
Una inyección de prompt es un intento de desviar un sistema de IA mediante instrucciones incluidas en el contenido que procesa.
clave API
Una clave API es un identificador que un programa envía para acceder a determinados servicios en línea.

Dónde lo trata este sitio

El término aparece en 37 páginas del sitio. Algunas:

Para ir más lejos

Preguntas frecuentes

¿OAuth acredita mi identidad?

OAuth se ocupa principalmente de autorizar accesos. Un protocolo complementario, como OpenID Connect, puede transmitir una identidad verificable para iniciar sesión. Algunas interfaces reúnen ambas funciones en un mismo botón, lo que puede ocultar esa diferencia.

¿Puedo retirar el permiso?

Los servicios suelen ofrecer ajustes para gestionar aplicaciones conectadas y revocar su acceso. Las opciones dependen de cada servicio. Retirar la autorización no elimina automáticamente los datos que la aplicación hubiera copiado antes de finalizar la conexión.

¿El acceso caduca solo?

Un token de acceso puede caducar, pero la aplicación puede obtener otro mediante un mecanismo de renovación. Por tanto, la caducidad de un token no significa necesariamente que toda la conexión haya terminado o requiera una nueva aprobación.

Neutralidad. Ningún enlace de afiliación. Ningún editor paga por ser evaluado, puntuado o clasificado. Las evaluaciones las dirige François Chollet, neutrales y factuales, y cada dato está fechado y con su fuente. Cómo puntuamos