Cos'è OAuth? Come funzionano quei pulsanti di accesso a Facebook, Twitter e Google
Se hai mai utilizzato il pulsante "Accedi con Facebook" o se hai dato a un'app di terze parti l'accesso al tuo account Twitter, hai utilizzato OAuth. Viene utilizzato anche da Google, Microsoft e LinkedIn, nonché da molti altri fornitori di account. Essenzialmente, OAuth ti consente di concedere a un sito web l'accesso ad alcune informazioni sul tuo account senza fornirgli la password del tuo account reale.
OAuth per l'accesso
Al momento, OAuth ha due scopi principali sul Web. Spesso, viene utilizzato per creare un account e accedere a un servizio online in modo più conveniente. Ad esempio, anziché creare un nuovo nome utente e una nuova password per Spotify, puoi fare clic o toccare "Accedi con Facebook". Il servizio controlla per vedere chi sei su Facebook e crea un nuovo account per te. Quando accedi a quel servizio in futuro, ti accorgi che accedi con lo stesso account Facebook e ti consente di accedere al tuo account. Non è necessario configurare un nuovo account o altro: Facebook invece ti autentica.
Questo è molto diverso dal semplice dare il servizio alla password del tuo account Facebook, comunque. Il servizio non ottiene mai la password del tuo account Facebook o il pieno accesso al tuo account. Può solo visualizzare alcuni dettagli personali limitati, come il tuo nome e l'indirizzo email. Non può visualizzare i tuoi messaggi privati o post sulla tua Timeline.
Quelli "Accedi con Twitter", "Accedi con Google", "Accedi con Microsoft", "Accedi con LinkedIn" e altri pulsanti simili per altri siti web funzionano allo stesso modo, per
OAuth per applicazioni di terze parti
OAuth viene anche utilizzato quando si forniscono ad app di terze parti l'accesso a account come i propri account Twitter, Facebook, Google o Microsoft. Consente a queste app di terze parti di accedere a parti del tuo account. Tuttavia, non ottengono mai la password del tuo account. Ogni applicazione riceve un token di accesso univoco che limita l'accesso che ha per il tuo account. Ad esempio, un'applicazione di terze parti per Twitter può avere solo la possibilità di visualizzare i tuoi tweet, ma non pubblicare nuovi tweet. Questo token di accesso unico può essere revocato in futuro e solo quell'app specifica perderà l'accesso al tuo account.
Come altro esempio, puoi dare a un'applicazione di terze parti l'accesso solo alle tue email di Gmail, ma impedisci che faccia qualcos'altro con il tuo account Google.
Questo è molto diverso dal semplice dare a un'applicazione di terze parti la password del tuo account e permetterlo di accedere. Le app sono limitate in ciò che possono fare e quel token di accesso univoco significa che l'accesso all'account può essere revocato in qualsiasi momento senza cambiare la tua password e senza revocare l'accesso da altre app.
Come OAuth Opere
Probabilmente non vedrai apparire la parola "OAuth" ogni volta che la utilizzi. I siti web e le app ti chiederanno semplicemente di accedere con Facebook, Twitter, Google, Microsoft, LinkedIn o altri tipi di account.
Quando scegli un account, verrai reindirizzato al sito Web del fornitore dell'account, dove dovrai accedere con tale account se non hai eseguito l'accesso al momento. Se hai effettuato l'accesso in-great! Non è nemmeno necessario inserire una password.
Assicurati di essere effettivamente indirizzato al vero Facebook, Twitter, Google, Microsoft, LinkedIn o qualsiasi altro sito Web del servizio con una connessione HTTPS sicura prima di digitare la tua password! Questa parte del processo sembra matura per il phishing, in quanto siti Web dannosi potrebbero fingere di essere il sito Web del vero servizio nel tentativo di acquisire la tua password.
A seconda di come funziona il servizio, puoi semplicemente accedere automaticamente con un po 'di informazioni personali, oppure potresti visualizzare una richiesta per consentire all'applicazione di accedere ad alcuni dei tuoi account. Potresti anche essere in grado di scegliere le informazioni a cui vuoi dare accesso all'applicazione.
Una volta che hai dato l'accesso all'app, è fatto. Il servizio di scelta conferisce al sito Web o all'applicazione un token di accesso univoco. Memorizza quel token e lo usa per accedere a questi dettagli sul tuo account in futuro. A seconda dell'applicazione, questa opzione può essere utilizzata solo per autenticarti all'accesso o per accedere automaticamente all'account e svolgere attività in background. Ad esempio, un'applicazione di terze parti che esegue la scansione del tuo account Gmail può accedere regolarmente alle tue email in modo che possa inviarti una notifica se trova qualcosa.
Come visualizzare e revocare l'accesso da applicazioni di terzi
Puoi visualizzare e gestire l'elenco di siti Web e applicazioni di terze parti che hanno accesso al tuo account sul sito web di ciascun account. È una buona idea controllare questi di volta in volta, poiché potresti aver dato l'accesso alle tue informazioni personali a un servizio, aver smesso di usarlo e aver dimenticato che il servizio ha ancora accesso. Limitare i servizi che hanno accesso al tuo account può aiutare a proteggerlo e i tuoi dati privati.
Per informazioni tecniche più dettagliate sull'implementazione di OAuth, visitare il sito Web OAuth.
