SaaS, el compartir que expone datos

Cuando una persona autoriza una aplicación de terceros para que actúe en su cuenta de Workspace, el registro de tokens de OAuth guarda el evento. Los tipos son authorize (se concedió acceso), request (se pidió acceso), deny (se negó), revoke (se retiró) y activity (la aplicación usó el acceso). Según la documentación de Google, este registro llega con un retraso de un par de horas, bastante más que los de administración o de Drive.

Esto cambia cómo se lee una consulta reciente. Que no haya filas en los últimos treinta minutos no dice que la aplicación no hizo nada.

Al autorizar una aplicación, el evento authorize guarda su nombre, el identificador de cliente y los alcances (scopes) concedidos. Los alcances no pesan igual: https://www.googleapis.com/auth/drive da acceso a todo el Drive de la persona, mientras drive.file limita el acceso a los archivos que la propia aplicación abre o crea, y calendar.readonly solo lee el calendario.

La tabla token_log trae las autorizaciones del lunes y la actividad posterior de una aplicación. Una aplicación con un alcance más ancho de lo que su función necesita es una pregunta para quien la autorizó.

Los documentos compartidos se miran por su visibilidad: private, shared_externally (con personas concretas de fuera), people_with_link, people_within_domain_with_link, public_in_the_domain y public_on_the_web. La que más expone es la última: cualquiera en internet con el enlace puede abrir el documento, sin necesidad de una cuenta.

La tabla compartidos lista cuatro documentos con su visibilidad. Un documento con datos de personas, como contactos de autores, pide una pregunta distinta a la de un manual de estilo.

El evento activity del registro de tokens guarda la API y el método que la aplicación llamó y los bytes de la respuesta. No dice qué archivos eran ni qué contenían, pero permite dimensionar cuánto salió hacia la aplicación y compararlo con su comportamiento normal.

Suma los bytes de las tres filas de actividad de la aplicación con el alcance más ancho, entre las 03:10 y las 04:10 del martes.

El registro dice que la aplicación llamó a Drive tres veces en una madrugada y recibió una cantidad de bytes. También dice quién la autorizó, cuándo y con qué alcance. No dice qué documentos se leyeron, ni a dónde envió la aplicación lo que recibió, ni si su proveedor es de fiar.

Con eso, la acción razonable es acotar: se revisa al proveedor, se compara la actividad con la de otras aplicaciones y se decide con quien autorizó si se retira el permiso. Y se anota lo que no se pudo ver.