Tokens de acceso, de actualización y de identificación

El token de acceso es lo que el cliente presenta a una API para usar un permiso. Debe vivir poco: minutos o pocas horas. El token de actualización (refresh) lo emite el servidor de autorización junto al de acceso, solo para pedirle uno nuevo cuando venza el anterior sin molestar a la persona; nunca se manda a una API, solo al servidor de autorización. Vive más y por eso vale más. El token de identificación no es de OAuth 2.0 sino de OpenID Connect: es para el cliente, y le dice quién inició sesión y cómo.

Cada token decodificado trae los mismos campos que importan: quién lo emitió (emisor), de quién habla (sujeto), para quién es (audiencia), qué permite (alcances) y cuándo nace y vence. Abre el laboratorio y mira la tabla tokens_emitidos.

La duración de un token se lee restando emitido de expira. Un token de acceso largo expone más tiempo a quien lo robe. Uno de actualización largo es normal en parte, porque su trabajo es durar, pero también es el que más vale: con él se obtienen accesos nuevos durante todo ese tiempo. Compara las duraciones de las cinco filas, de horas contra días y meses.

La política recomendada es que el token de acceso dure poco. Una de las filas es un token de acceso para la API de flota, y su vida se calcula con la hora de emisión y la de vencimiento. Mide en minutos cuánto vive el token TK-01.

La audiencia responde a la pregunta «¿para quién es este token?». En un token de acceso es la API que debe aceptarlo; en uno de identificación es la aplicación a la que se le informa del inicio de sesión. Un token no debería ser aceptado por nadie que no figure como su audiencia. Esto se comprobará con detalle en la sala 6, pero ya se puede leer: busca el token de identificación y fíjate para quién es.

Los tokens de actualización duran semanas o meses, así que su custodia importa más que la del de acceso. La guía de seguridad de OAuth 2.0 (RFC 9700) pide que, en clientes públicos, se rote cada vez que se usa o se ligue al cliente que lo recibió, de modo que uno robado no sirva indefinidamente. Y como el cliente puede perderlo, el servidor debe poder revocarlo.