Alcances mínimos y consentimiento

Un alcance (scope) limita lo que un cliente puede hacer en nombre de la persona: es un techo sobre la delegación. No le da a la persona derechos que no tiene ni sustituye la autorización de la API: si el token trae reservas.leer, la API todavía debe comprobar que la reserva pedida es de esa persona. RFC 9700 pide restringir los privilegios de cada token al mínimo necesario, tanto en lo que permite hacer como en la API para la que vale, y que el servidor de recursos lo compruebe en cada petición.

En la práctica se piden los alcances justos para la función que la persona está usando y se piden más tarde, cuando hagan falta, en lugar de pedirlo todo en el primer ingreso. Lo que no se usa en un periodo razonable se retira.

Al proveedor social también se le piden alcances, y ahí el exceso es doble: la web recibe datos que no necesita y la persona ve una pantalla que le pide permisos difíciles de justificar para iniciar sesión. Para identificar a alguien basta con openid; el nombre y el correo, si el producto de verdad los usa.

Compara lo que pide ocv-web a Quiba en alcances-por-cliente.txt con lo que hace quiba_perfil.py.

Para un tercero, el uso real es la mejor medida de lo que necesita. Treinta días de llamadas agrupadas por el alcance que las autorizó muestran qué parte de lo concedido se usa. Los alcances de identidad (openid, perfil, correo) y offline_access, que pide un token de actualización, no autorizan llamadas a la API y no aparecen en ese conteo.

Omitir la pantalla de consentimiento puede ser razonable para las aplicaciones propias de la empresa, porque la persona ya aceptó sus condiciones al crear la cuenta. Para un tercero no: la pantalla es el único momento en que la persona ve qué empresa recibe acceso y a qué. Si se omite, el tercero obtiene sus datos sin una decisión informada, y esa decisión es la que el registro tendrá que demostrar después.

Lee consentimiento.yml y separa las aplicaciones propias de la que no lo es.

El equipo propone una medida rápida: quitar pagos.leer a todos los clientes, «porque nadie lo necesita». Antes de aprobarla, vuelve a uso-de-la-api.txt y mira quién lo tiene concedido y cuántas llamadas autorizó.