OAuth che cos'è

OAuth è un protocollo di autorizzazione utilizzato per consentire a un'applicazione di accedere alle risorse di un altro servizio senza condividere una password. Si trova dietro funzioni comuni come "accedi con Google" o "accedi con Facebook". Nei prodotti digitali, OAuth migliora l'esperienza, aumenta la conversione e riduce i rischi per la sicurezza. Questa guida spiega cos'è OAuth, come funziona, quali flussi esistono, quando utilizzarlo e quali errori evitare.

L'obiettivo è fornire una spiegazione chiara ai team tecnici e di prodotto, con particolare attenzione all'implementazione sicura e allineata al business.

Cos'è OAuth

OAuth (Open Authorization) è uno standard aperto che consente di delegare l'accesso. Invece di fornire la propria password a un'app di terze parti, l'utente autorizza l'accesso direttamente dal provider (Google, Apple, GitHub). L'app riceve un token con autorizzazioni limitate.

Ciò protegge i dati, migliora l'UX e ti dà il controllo su ciò a cui l'app può accedere.

Differenza tra autenticazione e autorizzazione

Molte persone confondono:

Autenticazione: controlla chi è l'utente.
Autorizzazione: definisce a cosa può accedere.

OAuth è un protocollo di autorizzazione. Per l'autenticazione, in genere utilizzi OpenID Connect, che funziona su OAuth.

Come funziona il flusso OAuth

In forma semplificata:

L'utente clicca su "accedi con".
L'app reindirizza al provider.
L'utente autorizza.
Il provider restituisce un token.
L'app utilizza il token per accedere alle risorse consentite.

Questo processo impedisce la condivisione della password.

Principali flussi OAuth

Codice di autorizzazione

Più sicuro. Utilizzato nelle app Web e mobili con backend.

Implicito

Più vecchio, meno sicuro. Oggi in disuso.

Credenziali del cliente

Utilizzato per la comunicazione tra server.

Codice dispositivo

Utilizzato su dispositivi senza un browser completo.

La scelta dipende dal tipo di applicazione.

Token e ambiti

OAuth utilizza token di accesso. Ogni token ha ambiti che definiscono le autorizzazioni. Esempio: accesso all'e-mail, al profilo o all'elenco dei contatti. L'app dovrebbe chiedere solo ciò che è necessario, per evitare il rifiuto dell'utente.

I token possono scadere ed essere rinnovati tramite token di aggiornamento, garantendo sicurezza senza richiedere un accesso costante.

OAuth e accesso social

L'accesso social aumenta la conversione perché riduce l'attrito. Invece di creare una password, l'utente utilizza un provider affidabile. Ciò migliora la UX e riduce le password dimenticate.

D'altra parte, l'app dipende dal provider. Pertanto, si consiglia di avere un'opzione di accesso tradizionale come alternativa.

Rischi e vulnerabilità

Se mal implementato, OAuth può generare rischi:

Reindirizzamenti dannosi.
Gettoni trapelati.
Ambiti eccessivi.
Mancanza di convalida statale.

Le buone pratiche riducono questi rischi.

Buone pratiche di sicurezza

Utilizza il codice di autorizzazione con PKCE nelle app mobili.
Convalida sempre lo stato per evitare CSRF.
Utilizza HTTPS in tutte le fasi.
Conserva i token in modo sicuro.
Ordinare solo gli ambiti necessari.

OAuth nelle app mobili

Nelle app mobili si consiglia di utilizzare PKCE, che protegge dall'intercettazione del codice. L'accesso deve aprire il browser di sistema per una maggiore sicurezza.

OAuth nelle API

Le API utilizzano OAuth per controllare l'accesso. Ciò consente token con ambiti limitati e revoca rapida. Un'API ben protetta migliora l'affidabilità e la scalabilità.

Quando utilizzare OAuth

Utilizza OAuth quando:

Vuoi l'accesso social.
Necessità di accedere ai dati da altri servizi.
Vuoi delegare l'accesso sicuro.

Non utilizzare OAuth se il sistema è completamente interno e controllato.

Lista di controllo rapida

Scegli il flusso corretto.
Implementare PKCE.
Definire ambiti minimi.
Convalidare lo stato.
Utilizza HTTPS.
Monitorare i token.

Conclusione

OAuth è uno standard essenziale per l'accesso social e l'accesso sicuro ai dati di terze parti. Se implementato correttamente, migliora l'esperienza dell'utente e aumenta la sicurezza. La chiave è scegliere il flusso giusto, limitare gli ambiti e proteggere i token. Ciò garantisce fiducia e riduce i rischi a lungo termine.

##Domande frequenti

1) OAuth e accesso?
No. Lui è l'autorizzazione. Per l'accesso, utilizzare OpenID Connect.

2) OAuth è sicuro?
Sì, se implementato correttamente.

3) Ho bisogno di OAuth nella mia app?
Solo se utilizzi il social login o accedi a dati di terze parti.

4) La PKCE è obbligatoria?
Sì, nelle app mobili e altamente consigliato nelle app Web.

5) OAuth sostituisce la password?
No. Può ridurre l'utilizzo della password, ma non eliminarlo completamente.