OAuth este un protocol standard care permite unei aplicații să obțină acces limitat la anumite date sau funcții dintr-un alt serviciu — de exemplu contul tău Google sau Microsoft — fără ca aplicația respectivă să vadă sau să stocheze vreodată parola ta reală. Este mecanismul din spatele butoanelor "Conectează-te cu Google" sau "Autorizează accesul", întâlnite pe majoritatea site-urilor moderne.
Cum funcționează OAuth?
Când o aplicație cere acces printr-un buton de acest tip, ești redirecționat către serviciul original, unde te autentifici direct, pe domeniul lui real. Acolo confirmi explicit ce anume permiți aplicației să vadă sau să facă — de exemplu doar adresa de e-mail și numele, nu și mesajele private. Serviciul original emite apoi aplicației un token de acces limitat, valabil pentru exact ce ai aprobat, fără ca parola ta să circule vreodată către aplicația terță. Poți revoca acest acces oricând, direct din contul original, fără să schimbi nicio parolă. Fiecare token este, de regulă, limitat și la un set specific de acțiuni permise (scope), astfel încât o aplicație care cere doar citirea numelui și a adresei de e-mail nu poate, tehnic, să trimită mesaje sau să șteargă fișiere din contul tău.
De ce contează?
Pentru că elimină un obicei riscant: introducerea parolei reale în aplicații terțe, adesea necunoscute sau slab securizate. Dacă o aplicație conectată prin OAuth e compromisă, atacatorul obține cel mult tokenul limitat, revocabil instant, nu parola ta principală. Această separare limitează practic impactul oricărei aplicații terțe compromise la exact ce a fost autorizat, spre deosebire de o parolă reutilizată, care ar fi putut deschide acces complet la tot contul. OAuth stă și la baza multor implementări de Single Sign-On, folosite tot mai des pentru accesul angajaților la aplicații de firmă.
Cum îl folosești corect?
- Verifică mereu ce permisiuni exacte ceri unei aplicații înainte de a aproba — multe cer acces mai larg decât au nevoie efectiv.
- Revizuiește periodic lista aplicațiilor autorizate în conturile importante și revocă accesul celor nefolosite.
- Protejează contul principal folosit ca sursă de autentificare cu autentificare multi-factor — devine, practic, cheia tuturor aplicațiilor conectate.
- Ca dezvoltator, cere întotdeauna permisiunile minime necesare aplicației, nu acces larg "pentru orice caz".
Un exemplu concret
Un utilizator autorizează, cu ani în urmă, o aplicație terță de analiză a rețelelor sociale, prin OAuth, cu acces la contul de e-mail. Aplicația e ulterior compromisă. Pentru că accesul a fost acordat prin OAuth, cu permisiuni limitate, utilizatorul revocă tokenul din câteva click-uri, fără să schimbe parola contului de e-mail și fără ca atacatorul să fi avut vreodată acces la ea.
Vrei să știi ce aplicații au acces real la sistemele firmei tale? Cere un audit de securitate.
Întrebări frecvente
OAuth înseamnă că aplicația vede parola mea?
Nu. Parola se introduce doar pe site-ul original (Google, Microsoft etc.), niciodată pe aplicația terță. Aceasta primește doar un token limitat, cu permisiunile pe care le-ai aprobat explicit.
Cât durează un token OAuth?
Depinde de configurare — de la câteva minute până la săptămâni sau permanent, până la revocare manuală. Aplicațiile bine construite reînnoiesc tokenurile periodic și le limitează strict la permisiunile necesare.