Permisos delegados y de aplicación

La documentación de Microsoft sobre permisos y consentimiento distingue dos escenarios. En el acceso delegado, la aplicación actúa en nombre de un usuario que inició sesión y no puede acceder a nada que ese usuario no pudiera ver. En el acceso solo de aplicación (permisos de aplicación), la aplicación actúa con su propia identidad, sin usuario: puede acceder a todo lo que el permiso cubra, en toda la organización. Por eso, en general, solo un administrador puede consentir los de aplicación.

Una aplicación de respaldo o de automatización suele necesitar los de aplicación, porque corre sin nadie delante. Eso no la hace inocente: la hace poderosa.

La columna alcance del archivo de permisos dice sobre qué datos actúa cada permiso. Un permiso delegado de correo alcanza el buzón de quien inició sesión; uno de aplicación sobre correo alcanza el de todos. La diferencia entre un buzón y todos los buzones es la diferencia entre una molestia y una filtración.

Los permisos de aplicación son el subconjunto que merece revisión primero: son los que consintió un administrador, los que actúan sin nadie delante y los que más datos alcanzan. Contarlos da el tamaño de esa lista de revisión.

Pedir permisos de más es habitual: el desarrollador pide lo que podría necesitar. El archivo de uso cuenta las llamadas de cada permiso en 90 días. Un permiso con cero llamadas es una autorización sin función, y se puede retirar con poco riesgo, pero siempre confirmándolo con el proveedor y el propietario.

El principio es el de siempre: privilegio mínimo. Frente a un permiso amplio y sin uso, la conversación con el proveedor no es una acusación, es una solicitud de justificación. Si no hay razón, se retira. Si la hay, se documenta quién la aprobó.