Autenticación y autorización para aplicaciones web

Autenticación y autorización: ¿Quién eres y qué puedes hacer?

La autenticación consiste en verificar quién es alguien, generalmente mediante un nombre de usuario y contraseña, un inicio de sesión social o una huella dactilar. La autorización trata sobre lo que esa persona puede hacer: qué páginas puede acceder, qué acciones puede realizar. Ambos son esenciales para cualquier aplicación que tenga usuarios.

Cómo funciona la autenticación

El enfoque tradicional utiliza sesiones. Cuando inicias sesión, el servidor crea un registro de sesión en una base de datos o caché y envía a tu navegador una cookie que contiene el ID de sesión. En solicitudes posteriores, el navegador envía la cookie y el servidor consulta la sesión para ver quién eres. Este enfoque es simple y seguro, pero requiere almacenamiento en el lado del servidor.

Un enfoque más moderno utiliza JSON Web Tokens (JWT). Cuando inicias sesión, el servidor crea un token firmado que contiene tu identidad y permisos. El token se envía al cliente, que lo almacena y lo envía con cada solicitud. El servidor puede verificar el token sin buscar nada en una base de datos — el token mismo contiene la información. Esto es sin estado y escala bien, pero los tokens no se pueden revocar fácilmente.

OAuth 2.0 e inicio de sesión social

OAuth 2.0 es el estándar que te permite iniciar sesión con Google, GitHub u otros proveedores. Tu aplicación redirige al usuario al proveedor, quien solicita permiso. Si el usuario lo concede, el proveedor devuelve un código que tu aplicación intercambia por tokens. Esto es más seguro que manejar contraseñas tú mismo, y los usuarios aprecian no tener que crear otra cuenta.

OpenID Connect agrega una capa de identidad sobre OAuth 2.0, proporcionando una forma estandarizada de obtener la información del perfil del usuario. La mayoría de los sistemas de autenticación modernos implementan ambos.

Autenticación multifactor

Las contraseñas por sí solas no son suficientes. Las personas reutilizan contraseñas, caen en phishing y usan contraseñas débiles. La autenticación multifactor (MFA) agrega una segunda capa de seguridad. La forma más común es la contraseña única basada en el tiempo (TOTP) de una aplicación de autenticación. Más seguras son las claves de seguridad de hardware y las passkeys, que son resistentes al phishing y no se pueden adivinar.

Autorización: Control de acceso

Una vez que sabes quién es alguien, debes decidir qué puede hacer. El modelo más simple es el control de acceso basado en roles (RBAC): los usuarios tienen roles como administrador, editor o espectador, y cada rol tiene permisos específicos. Los modelos más flexibles incluyen el control de acceso basado en atributos (ABAC), que considera atributos del usuario, del recurso y del entorno para tomar decisiones.

Uso de proveedores de autenticación

Construir la autenticación desde cero es complejo y arriesgado. Los proveedores modernos como Auth0, Clerk y Supabase Auth manejan las partes difíciles: hash de contraseñas, gestión de sesiones, inicio de sesión social, MFA y monitoreo de seguridad. Proporcionan SDK que se integran con tu frontend y backend, y manejan las mejores prácticas de seguridad de forma predeterminada. Para la mayoría de los proyectos, usar un proveedor es la opción correcta.