Configuración Avanzada de OAuth2

Auris admite cuatro capacidades avanzadas de OAuth2 más allá del flujo estándar de Authorization Code + PKCE: Device Authorization Flow, Client-Initiated Backchannel Authentication (CIBA), DPoP (Demonstration of Proof-of-Possession) e Intercambio de Tokens. Cada característica se configura por aplicación y puede habilitarse de forma independiente.

Estas características abordan escenarios empresariales como la autenticación en dispositivos con entrada limitada (smart TVs, herramientas CLI), autenticación iniciada por el servidor (centros de llamadas, aprobaciones en quioscos), vinculación criptográfica de tokens al remitente, y delegación de identidad controlada.

Accede desde Consola → Aplicaciones → selecciona una aplicación → pestaña Configuración.

Device Authorization Flow (RFC 8628)

El Device Authorization Flow permite que los usuarios se autentiquen en dispositivos que no disponen de navegador o tienen capacidades de entrada limitadas. El dispositivo muestra un código corto que el usuario introduce en otro dispositivo (teléfono u ordenador) para autorizar la sesión.

Habilitar Device Flow

URI de Verificación

Tras habilitar Device Flow, Auris proporciona un URI de Verificación para tu aplicación. Esta es la URL que muestras a los usuarios junto con el código del dispositivo. El formato es:

https://auth.yourdomain.com/hosted/device

Tu aplicación de dispositivo debe mostrar tanto el URI de verificación como el código de usuario, por ejemplo:

Para iniciar sesión, visita: https://auth.yourdomain.com/hosted/device
Introduce el código: ABCD-EFGH

Cómo Funciona

1. El dispositivo solicita un código de dispositivo a POST /api/oauth/device/authorize
2. El usuario visita el URI de verificación e introduce el código
3. El usuario se autentica normalmente (contraseña, MFA, SSO — lo que requiera tu tenant)
4. El dispositivo sondea POST /api/auth/token con grant_type=urn:ietf:params:oauth:grant-type:device_code hasta que el usuario complete la autenticación
5. Una vez autorizado, el dispositivo recibe los tokens de acceso y de actualización

Client-Initiated Backchannel Authentication (CIBA)

CIBA permite la autenticación de servidor a servidor donde la parte dependiente inicia la autenticación sin que el usuario esté presente en la aplicación. El usuario recibe una notificación (SMS o email) y aprueba el inicio de sesión en su propio dispositivo.

Los casos de uso típicos incluyen la autenticación en centros de llamadas (“hemos enviado una notificación a tu teléfono — por favor apruébala para verificar tu identidad”) y la re-autenticación en segundo plano para sesiones de larga duración.

Habilitar CIBA

Modos de Notificación

DPoP (Demonstration of Proof-of-Possession) — RFC 9449

DPoP vincula los tokens de acceso a un cliente específico exigiendo al cliente que demuestre la posesión de una clave privada en cada solicitud. Esto previene el robo y la repetición de tokens — incluso si un token de acceso es interceptado, no puede usarse sin la clave privada correspondiente.

Habilitar DPoP

Cómo Funciona DPoP

1. El cliente genera un par de claves asimétricas (habitualmente ECDSA P-256)
2. En cada solicitud de token, el cliente crea un JWT de prueba DPoP firmado con su clave privada, que contiene el método HTTP, la URL y un identificador único
3. Auris verifica la prueba y vincula el token emitido a la clave pública del cliente (huella JWK)
4. En las llamadas a la API posteriores, el cliente incluye tanto el token de acceso como una cabecera de prueba DPoP actualizada
5. Los servidores de recursos verifican que el claim jkt (JWK Thumbprint) del token coincide con la prueba DPoP

Intercambio de Tokens (RFC 8693)

El Intercambio de Tokens permite que un servicio intercambie un token de acceso por un nuevo token con diferentes scopes, sujeto o audiencia. Esto admite dos patrones: suplantación (actuar como otro usuario) y delegación (actuar en nombre de otro usuario manteniendo la identidad original).

Habilitar el Intercambio de Tokens

Monitorización

La Consola ofrece páginas de monitorización dedicadas para cada característica avanzada de OAuth2. Accede a ellas desde la sección OAuth Avanzado en la barra lateral.

Códigos de Dispositivo

Ve a Consola → OAuth Avanzado → Códigos de Dispositivo para ver todas las sesiones de autorización de dispositivo activas y expiradas.

Solicitudes CIBA

Ve a Consola → OAuth Avanzado → Solicitudes CIBA para ver las solicitudes de autenticación backchannel.

Intercambios de Tokens

Ve a Consola → OAuth Avanzado → Intercambios de Tokens para ver el log de auditoría de todas las operaciones de intercambio de tokens.

Puntuación de Riesgo

Las características avanzadas de OAuth2 se integran con el motor de puntuación de riesgo de Auris. Cuando la puntuación de riesgo está habilitada, cada autenticación a través de Device Flow, CIBA o Intercambio de Tokens se evalúa por riesgo igual que un inicio de sesión estándar. Las autenticaciones de alto riesgo pueden activar requisitos de MFA adicional.

Para la configuración detallada del motor de riesgo, pesos de factores, umbrales y reglas personalizadas, consulta la página dedicada Puntuación de Riesgo y MFA Adaptativo.

Permisos

Los siguientes permisos controlan el acceso a las características avanzadas de OAuth2:

Guías Relacionadas

• Puntuación de Riesgo y MFA Adaptativo — Configurar el motor de riesgo que protege todos los flujos OAuth2
• Device Authorization Flow — Guía para desarrolladores sobre cómo implementar Device Flow en tu aplicación
• Integración CIBA — Guía para desarrolladores sobre autenticación backchannel
• DPoP para Seguridad de Tokens — Cómo implementar DPoP en tu aplicación cliente
• Intercambio de Tokens — Guía para desarrolladores sobre suplantación y delegación
• Aplicaciones — Gestionar la configuración de aplicaciones en la Consola