OAuth, JWT y pasarelas: separar controles de seguridad

Elegir la función antes que la herramienta

Un token de acceso OAuth puede ser opaco o usar JWT. Decodificar JWT no comprueba autenticidad; un JWT firmado no cifra automáticamente su contenido. Una pasarela no sustituye la autorización de negocio dentro de los servicios.

Validar el protocolo y cada acceso

• Elija un flujo adecuado al cliente. Para recorridos de usuario, siga las recomendaciones actuales sobre código de autorización y PKCE, con biblioteca mantenida y redirecciones estrictamente controladas.
• Para un JWT aceptado, compruebe firma, algoritmos permitidos, emisor, destinatario y restricciones temporales del perfil. Rechace tokens destinados a otro uso.
• Controle cada objeto, acción y organización. Pruebe accesos entre cuentas con datos ficticios; un rol o ámbito general no siempre basta.

Prever caducidad, revocación e incidentes

Documente renovación, rotación de claves, pérdida de secretos y estrategia de revocación. La verificación local no conoce automáticamente una revocación remota. Minimice datos y registros; ni JWT ni cuotas garantizan por sí solos seguridad o cumplimiento.

Fuentes primarias

• IETF RFC 9700 — OAuth 2.0 Security Best Current Practice [EN]
• IETF RFC 8725 — JWT Best Current Practices [EN]
• OpenID Foundation — OpenID Connect Core 1.0 [EN]
• OWASP — Authorization Cheat Sheet [EN]

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}

{
    "issuance_succeeded": true,
    "proxy_count": 2,
    "proxies_serving_expected_certificate": 1,
    "other_proxy_certificate_expired": true,
    "tls_verification_enabled": true,
    "expected": "change_incomplete_fix_and_verify_client_paths"
}