¿Alguna vez ha iniciado sesión en un sitio web usando Google, Facebook, LinkedIn o incluso Github? ¿Qué tal cargar archivos a un sitio web directamente desde su nube, como su cuenta de Google Drive?
Bueno, ambos son ejemplos de sitios web o aplicaciones que obtienen acceso a su información almacenada en otros sitios web o servicios. Pero, ¿cómo se logra esto sin comprometer la seguridad de sus datos personales y sin dar sus credenciales a una aplicación de terceros?
Tome Facebook, por ejemplo; Facebook puede usar los contactos almacenados en su cuenta de Google para encontrar a sus amigos en la plataforma. Para que Facebook acceda a sus contactos y encuentre a sus amigos, debe darle acceso a su cuenta de Google.
Hace unos años, esto se hacía de una manera muy cruda, donde le dabas a Facebook tu dirección de correo electrónico de Google y tu contraseña de Gmail, que usaría para iniciar sesión en tu cuenta de Google como tú mismo y acceder a tus contactos. Muchas aplicaciones, y no solo Facebook, implementaron la autorización para los datos de usuario almacenados en otros sitios web de esta manera.
Con tantas aplicaciones de terceros implementando la autorización de esta manera, los usuarios se estaban quedando cortos, ya que tenían que comprometer su seguridad para acceder a los servicios. Un desarrollador malintencionado podría hacer mal uso de las credenciales de los usuarios en detrimento de los usuarios. Esto es lo que requirió el desarrollo de OAuth.
Según el Grupo de Trabajo de Ingeniería de Internet (IETF), OAuth es un marco de autorización que permite que las aplicaciones de terceros obtengan acceso a un servicio en nombre del propietario del recurso. OAuth es lo que permite a los usuarios otorgar acceso limitado a aplicaciones de terceros.
Esto permite que las aplicaciones accedan a sus recursos en línea, como sus perfiles o datos personales almacenados en otra aplicación, sin tener que revelar sus credenciales de inicio de sesión a la aplicación de terceros que intenta acceder al recurso.
Esto a menudo se conoce como acceso delegado, donde los usuarios otorgan a las aplicaciones de terceros acceso limitado a sus recursos alojados en otro servicio sin compartir las credenciales de sus usuarios.
OAuth 2.0 es la versión más utilizada del protocolo OAuth y es un componente clave de la autorización y autenticación web.
OAuth se usa ampliamente en la autenticación de aplicaciones móviles, la protección de las API, lo que permite el inicio de sesión único en varias aplicaciones y el acceso delegado para terceros, y también permite a los usuarios administrar y controlar los permisos otorgados a aplicaciones de terceros.
Tabla de contenido
Beneficios de usar plataformas OAuth de código abierto.
Las plataformas OAuth de código abierto se refieren a implementaciones de código abierto del estándar OAuth. Teniendo en cuenta que las aplicaciones se desarrollan utilizando una variedad de marcos y lenguajes de programación, las plataformas OAuth proporcionan bibliotecas y herramientas que permiten a los desarrolladores integrar fácilmente la funcionalidad OAuth en sus aplicaciones. Algunos de los beneficios de usar plataformas OAuth de código abierto incluyen:
Calidad y transparencia del código
Las plataformas de código abierto permiten a los usuarios acceder a su código. Esto es beneficioso porque muchos desarrolladores con una amplia gama de habilidades y experiencia revisan el código y pueden plantear problemas que pueden notar con el código.
Esto ayuda a garantizar que el código sea de la más alta calidad, sin vulnerabilidades ni errores. Las empresas también pueden revisar el código para determinar qué tan bien puede satisfacer sus necesidades antes de comprometerse a usar el producto.
Rentabilidad
Las soluciones de software de código abierto son de uso gratuito y, por lo tanto, pueden ser una forma para que las empresas ahorren en los costos en los que incurrirían al optar por plataformas OAth patentadas. Esto tiene la ventaja de permitir que incluso las empresas sin grandes presupuestos garanticen que la seguridad de sus usuarios no se vea comprometida.
Evite el bloqueo de proveedores
Al utilizar proveedores de OAuth de código abierto, puede cambiar fácilmente entre diferentes proveedores de OAuth sin tener que rediseñar toda la arquitectura de su aplicación para que coincida con un nuevo proveedor.
Las soluciones OAuth de código abierto se adhieren a estándares ampliamente aceptados que les permiten garantizar la compatibilidad y la interoperabilidad con otros sistemas. Esto facilita el cambio entre diferentes soluciones de código abierto.
Soporte comunitario
Las soluciones de código abierto a menudo están respaldadas por una gran comunidad de desarrolladores que trabajan para mejorarlas y proporcionar actualizaciones al software. Esto garantiza que el software no solo funcione con muchas herramientas que usan los desarrolladores, sino que también los problemas con el software se puedan abordar más rápido, ya que seguramente habrá alguien familiarizado con el software listo para ayudar.
Criterios clave para evaluar plataformas OAuth de código abierto
Algunos de los factores clave a considerar al evaluar una plataforma OAuth de código abierto incluyen:
Medidas de seguridad y cifrado
Es importante que la solución OAuth de código abierto que utilice cuente con medidas sólidas de seguridad y cifrado.
Esto se debe a que las plataformas manejan datos confidenciales de los usuarios y acceden a los recursos. La plataforma debe admitir una comunicación segura y también proporcionar mecanismos para proteger los tokens de acceso.
Facilidad de integración y API amigables para desarrolladores
Dado que las plataformas OAuth están integradas en las aplicaciones, es fundamental que la solución OAuth ofrezca API claras e intuitivas, documentación y kits de desarrollo de software (SDK) que simplifiquen el proceso de integración.
Los puntos finales de la plataforma también deben estar bien documentados con muestras de código y bibliotecas para marcos y lenguajes de programación populares.
Apoyo Comunitario y Desarrollo Activo
Una comunidad sólida y activa de usuarios y colaboradores de un recurso de código abierto indica un entorno saludable en torno a los recursos. En este caso, significa que OAuth se mejora y utiliza continuamente.
Además, una comunidad activa puede proporcionar recursos útiles y soporte que pueden ayudarlo a comprender y usar una solución OAuth de código abierto.
Escalabilidad y rendimiento
Las aplicaciones a menudo tienen una base de usuarios en crecimiento a medida que más personas conocen la aplicación. Por lo tanto, es importante que cualquier solución de OAuth que utilice sea compatible con el escalado a medida que aumenta su base de usuarios y que también pueda manejar una gran cantidad de solicitudes simultáneas.
Opciones de personalización y extensibilidad
Una solución OAuth debe ser altamente personalizable para adaptarse a los diferentes requisitos comerciales y la lógica en una amplia gama de usuarios. En pocas palabras, las empresas no deberían tener que construir su lógica en torno a una plataforma OAuth.
En cambio, la solución OAuth debe ser lo suficientemente personalizable y extensible para permitir su implementación sin cambiar la lógica comercial. Esto se puede lograr al permitir la adición de atributos de usuario, reclamos y flujos de autenticación personalizados.
Con las consideraciones anteriores en mente, estas son algunas de las mejores soluciones OAuth de código abierto para usar en su próximo proyecto
supertokens
SuperTokens es un proveedor de inicio de sesión de código abierto que cuenta con un amplio uso entre empresas emergentes como HackeRank, Skoot y Food Market Hub y lo utilizan ingenieros que trabajan en empresas como Google, Amazon y Meta, entre otras.
SuperTokens proporciona componentes altamente personalizables, extensibles y reemplazables que permiten a los usuarios integrar fácilmente la autenticación de usuario en su aplicación.
SuperTokens no solo es fácil y rápido de integrar, sino que también ofrece interfaces de usuario preconstruidas para páginas de registro y funcionalidad de autenticación de usuario lista para usar. Los usuarios también tienen la libertad de crear su propio inicio de sesión rápidamente utilizando las funciones auxiliares que vienen con SuperTokens.
Con SuperTokens, implementa el inicio de sesión con contraseña de correo electrónico, el inicio de sesión social mediante OAuth y el inicio de sesión sin contraseña en las aplicaciones. También puede usar el inicio de sesión social y el inicio de sesión con contraseña de correo electrónico en la misma pantalla de inicio de sesión para sus aplicaciones.
Cerbos
Cerbos es una plataforma de autorización escalable, independiente del idioma y de código abierto que fue reconocida por Business Wire como la mejor en API Security en 2022.
Cerbos, que es una capa de autorización para implementar roles y permisos, funciona con una variedad de proveedores de identidad, incluidos Auth0, Magic, WorkOS, Okta y FusionAuth, entre otros.
Cerbos le permite administrar de forma centralizada la lógica de autorización en todas sus aplicaciones y realizar cambios al instante en la forma en que sus aplicaciones manejan la autorización y la autenticación.
Además, Cerbos ofrece atributos y definiciones de roles sensibles al contexto y expone una API independiente del idioma que se puede usar con cualquier pila de tecnología.
Para colmo, Cerbos es apátrida y autohospedado y puede alojarse en plataformas sin servidor, cualquier nube pública o privada, o incluso un centro de datos de propiedad privada.
Pasaporte
Passport es un middleware de autenticación muy popular para el marco Node.js y autentica las solicitudes entrantes en aplicaciones creadas con un backend de Node.js.
La autenticación se realiza mediante complementos conocidos como estrategias. Passport proporciona a los desarrolladores ganchos para controlar las acciones que se realizarán cuando la autenticación falle o tenga éxito.
Passport ofrece más de 500 estrategias de autenticación y permite el inicio de sesión único con OpenID y OAuth. También admite sesiones persistentes, alcance y permisos dinámicos, implementación de estrategias personalizadas y fácil manejo de éxitos y fallas durante la autenticación.
Además, Passport.js no monta rutas en las aplicaciones de Node.js y no asume ningún esquema de base de datos en particular y, por lo tanto, permite que el desarrollador tome todas las decisiones a nivel de aplicación.
autenticación.js
Auth.js es una solución de autenticación de código abierto que funciona con una variedad de marcos frontend, incluidos Next.js, SvelteKit y SolidStart, entre otros.
Auth.js está diseñado para funcionar con una variedad de versiones de OAuth. Admite la autenticación sin estado con cualquier backend, autenticación por correo electrónico/sin contraseña y tokens web JSON junto con sesiones de base de datos.
Aunque Auth.js se diseñó para arquitecturas sin servidor, se puede ejecutar en cualquier lugar, incluidos AWS Lambda, Docker y Heroku, entre otros.
Auth.js también garantiza a los usuarios el control de sus datos y puede funcionar sin una base de datos, aunque tiene soporte integrado para bases de datos populares como MySQL, Postgres, MongoDB, SQLite, MariaDB y Microsoft SQL Server.
Auth.js utiliza tokens de falsificación de solicitudes entre sitios (CSRF) en rutas POST, cifra tokens web JSON y genera automáticamente claves de cifrado y firma simétrica para comodidad del desarrollador.
Capa de llaves
Keycloak es una solución de gestión de acceso e identidad de código abierto muy popular. Keycloak es una solución basada en protocolos estándar y es compatible con OAuth 2.0, lenguaje de marcado de aserción de seguridad (SAML) y OpenID Connect.
Al ser una solución de código abierto, Keycloak es muy fácil de integrar y viene con funciones como Single-Sign-On, que permite a los usuarios iniciar sesión en múltiples aplicaciones a través de un solo inicio de sesión en Keycloak.
Esto también beneficia a los desarrolladores en el sentido de que no tienen que ser ellos los que se ocupen de la autenticación y el almacenamiento de usuarios y la creación de formularios de inicio de sesión en sus aplicaciones.
Un área donde destaca KeyCloak es su facilidad de integración con las aplicaciones. KeyCloak le permite agregar fácilmente la capacidad de iniciar sesión en aplicaciones usando redes sociales sin tener que cambiar su aplicación o código.
Todo esto se hace a través de una consola de administración donde también puede configurar funciones adicionales de Keycloak, como la federación de usuarios y la intermediación de identidad. A través de la consola de administración, también puede crear y administrar aplicaciones y servicios y ajustar las políticas de autorización.
Apereo CAS
Apereo CAS es una solución de inicio de sesión único de código abierto y un proveedor de identidad. CAS admite una amplia gama de protocolos de autenticación, incluidos OAuth 2.0, SAML, OpenID, REST y WS-Federation, entre otros.
CAS viene con soporte integrado para administración de contraseñas, notificaciones, términos de uso y suplantación de identidad.
CAS también admite autenticación conectable, autenticación delegada a proveedores de identidad externos como Facebook, Twitter y OpenID Connect, y autenticación multifactor a través de proveedores como Google Authenticator, Authy, YubiKey, Acceptto e Inwebo, entre otros.
Para usar CAS, es mejor usarlo con sus plataformas de cliente con soporte oficial que incluyen Java, .NET, Apache y PHP.
ory kratos
Ory Kratos es un sistema de gestión de usuarios robusto y rico en funciones que se adapta a la nube. Aunque Ory Kratos está escrito en Go, viene con SDK para cada lenguaje de programación, junto con inicio de sesión, registro y administración de perfiles personalizables.
Además, Ory Kratos puede funcionar con cualquier marco de interfaz de usuario y requiere un código mínimo para configurarlo.
Algunas características notables que vienen con Ory Kratos incluyen autenticación multifactor con una variedad de proveedores, inicio de sesión y registro de autoservicio, inicio de sesión en redes sociales, verificación y recuperación de cuentas y administración de usuarios.
La gestión de usuarios permite la creación, actualización y eliminación de identidades y sus datos en su base de usuarios. Finalmente, Ory Kratos permite el uso de modelos de identidad personalizables, donde puede crear sus propias interfaces y definir campos personalizados como nombres, direcciones o mascotas favoritas.
Iniciar sesión
Según su documentación, Logto es una alternativa rentable de código abierto a Auth0, que es una solución patentada de autenticación y autorización. Logto ofrece todas las funciones necesarias para la autenticación y autorización seguras a precios más asequibles.
Logto viene con una API de administración lista para usar que se puede usar como proveedor de autenticación. También tiene SDK que permiten una integración fácil y rápida de Logto con cualquier aplicación que esté creando.
OpenID Connect (OIDC), que amplía el protocolo de autorización OAuth 2.0, se usa para la autenticación, mientras que el control de acceso basado en roles (RBAC) se usa para la autorización.
Con LogTo, sus aplicaciones pueden implementar el inicio de sesión social sin contraseña y pueden manejar a los usuarios que han olvidado sus credenciales de inicio de sesión. Para hacer que el desarrollo sea aún más fácil y rápido, LogTo ofrece hermosos componentes de interfaz de usuario preconstruidos con CSS personalizable.
Los usuarios también obtienen acceso a su plataforma en la nube, donde pueden personalizar, integrar y obtener una vista previa de la autenticación que están implementando en su aplicación.
Conclusión
Al implementar la autenticación y la autorización en su aplicación, existe una variedad de soluciones de código abierto que le ahorrarán a usted y a su negocio toneladas de dinero. Considere cualquiera de las soluciones compartidas en el artículo para proteger su negocio y los datos críticos de los usuarios.
También puede explorar algunas de las mejores plataformas de autenticación de usuarios.