## Introducción El [Protocolo Conexión OpenID](https://openid.net/specs/openid-connect-core-1_0.html), también conocido como OIDC, ha surgido como un estándar ampliamente adoptado para proporcionar un marco fundamental para la gestión de identidades. Es una capa de autenticación construida encima del conocido protocolo OAuth 2.0. Mientras que OAuth 2.0 es simplemente para la autorización de recursos, OIDC es el protocolo que estandariza y refuerza la autenticación de clientes, con la ayuda del nuevo token de identificación introducido. Espera... Es posible que hayas oído hablar del token de actualización y del token de acceso en la era de OAuth, y ahora aquí viene un nuevo concepto en OIDC? ¿Realmente comprendes las diferencias entre estos tokens? [Logto](https://logto.io/), nuestra solución integral de Gestión de Identidad y Acceso del Cliente (CIAM), está construida encima del protocolo OIDC. En nuestra comunidad, una de las preguntas más frecuentes de nuestros usuarios es: > **¿Cuáles son las diferencias entre un token de actualización, un token de acceso y un token de identificación?** Así que en esta publicación, profundizaremos en los aspectos clave de los tokens OIDC, al mismo tiempo que iluminamos cómo Logto mejora la experiencia general del desarrollador. Prueba Logto Cloud en 5 minutos ## Comencemos con un escenario práctico Imagina que estás trabajando en una típica aplicación cliente-servidor, y se comunican entre sí a través de APIs RESTful. Quieres mantener la mayoría de tus APIs privadas, permitiendo sólo a clientes autorizados el acceso. Entonces podrías llegar a la primera pregunta: ### ¿Qué tipo de token necesito para proteger mi API? La respuesta rápida es: Token de acceso. En OIDC, cada API protegida se trata como un recurso. El token de acceso es la credencial que el cliente transmite al servidor al solicitar un recurso de API, típicamente a través del encabezado de la solicitud. En el lado del servidor, cada vez que llega una solicitud, el servidor sólo necesita validar si la solicitud entrante lleva un token de acceso válido. Los tokens de acceso son una credencial de corta duración que proporciona autorización para acceder a recursos protegidos en nombre de un usuario. Cuando un usuario se autentica exitosamente utilizando OIDC, el servidor de autorización emite un token de acceso. Este token contiene información sobre el usuario, sus permisos y la duración de su validez. El token se envía con cada solicitud posterior al servidor de recursos, lo que permite al servidor verificar la identidad del usuario y autorizar el acceso a los recursos solicitados. Sin embargo, podrías pensar: Si mi aplicación cliente puede tener un token de acceso válido después de un inicio de sesión exitoso, y usar el token de acceso para solicitar las APIs del servidor, ¿no es eso suficiente? ¿Por qué necesito tokens de actualización e ID tokens? De hecho, es una pregunta válida, y vamos a explicarla paso a paso. ### ¿Por qué necesitamos tokens de actualización? Aunque técnicamente los tokens de acceso cumplen los requisitos mínimos para hacer funcionar el sistema, sin embargo, debido a problemas de seguridad, la validez de los tokens de acceso es por lo general muy corta (típicamente una hora). Así que imagina que si sólo tuviéramos tokens de acceso, los usuarios finales tendrían que volver a autenticarse cada vez que el token de acceso expire. Para las modernas aplicaciones web de una sola página y especialmente las aplicaciones móviles, cerrar sesión frecuentemente es una experiencia de usuario bastante dolorosa, aunque sólo estemos intentando proteger su seguridad de usuario. Por lo tanto, necesitamos un equilibrio entre la seguridad del token y la comodidad del usuario. Por eso OIDC introduce los tokens de actualización. Un token de actualización es un token de mayor duración que se utiliza para obtener nuevos tokens de acceso sin requerir que el usuario se vuelva a autenticar. Es como una clave para obtener más claves. Los tokens de actualización se utilizan cuando el token de acceso expira o necesita ser renovado. Tienen un periodo de validez más largo en comparación con los tokens de acceso, a menudo durando días, semanas o incluso meses. ### ¿Por qué los tokens de actualización pueden tener una vida útil más larga? Los tokens de acceso se utilizan para acceder a los recursos de la API, por lo que su naturaleza de corta duración ayuda a mitigar el riesgo de ser filtrados o comprometidos. Por otro lado, dado que los tokens de actualización sólo se utilizan para intercambiar por nuevos tokens de acceso, no se utilizan con tanta frecuencia como los tokens de acceso y por lo tanto el riesgo de exposición se reduce. Por lo tanto, se considera aceptable que los tokens de actualización tengan un periodo de validez más largo. ### Garantizando la seguridad del token de actualización Dado que el token de actualización también se almacena en el lado del cliente, garantizar su no-compromiso es un reto, especialmente para los clientes públicos como las aplicaciones web de una sola página (SPA). En Logto, los tokens de actualización tienen un [mecanismo de rotación](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) automático habilitado por defecto, lo que significa que el servidor de autorización emitirá un nuevo token de actualización una vez que cumpla con los criterios: - Aplicaciones de una sola página: Reconocidas como clientes no restringidos al remitente, estas aplicaciones exigen la rotación del token de actualización. El tiempo de vida del token de actualización (TTL) no puede ser especificado. - Aplicaciones nativas y aplicaciones web tradicionales: La rotación del token de actualización está intrínsecamente habilitada, renovándose automáticamente al alcanzar el 70% de su TTL. [Aprender más](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Aunque aún tienes la opción de desactivar la rotación del token de actualización en la página de detalles de la aplicación en la consola de administración, se recomienda fuertemente mantener esta medida de protección. ### La esencia del token de identificación [El token de identificación](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) permite al cliente obtener información básica del usuario sin solicitar al servidor. El token de identificación es un nuevo tipo de token introducido por OIDC que contiene información de autenticación de usuario en caché, mejorando el rendimiento y la experiencia del usuario final. A diferencia de los tokens de acceso, destinados a ser entendidos solo por el servidor de recursos, los tokens de identificación son amigables para el cliente. Cuando el cliente realiza una solicitud de intercambio de tokens OIDC, puede solicitar un token de identificación junto con un token de acceso. El token de identificación es un Token Web JSON (JWT) que contiene reclamaciones de usuario como el nombre de usuario, el correo electrónico, la imagen del avatar, etc. Está firmado por el servidor de autorización y puede ser verificado y decodificado por el cliente sin conexión. Esto es especialmente útil para las modernas aplicaciones web de una sola página, y las aplicaciones móviles, donde el cliente puede almacenar en caché el token de identificación y usarlo para determinar el estado de autenticación del usuario, lo que ayuda en gran medida al rendimiento general y la experiencia del usuario. También es importante notar que los tokens de identificación no se utilizan para autorizar el acceso a recursos protegidos; esa es la función de los tokens de acceso. En Logto, también utilizamos el token de identificación en nuestros SDKs para ayudar a determinar el estado de autenticación en el lado del cliente. Por ejemplo, en nuestros [SDKs JS](https://docs.logto.io/docs/references/applications/#rotate-refresh-token), puedes ver: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` Sin embargo, tal como se mencionó anteriormente, la bandera `isAuthenticated` del SDK del cliente es sólo un estado en caché del cliente. El estado de autenticación en tiempo real todavía tiene que ser determinado por el servidor, a través de la validación de los tokens de actualización y acceso. También proporcionamos una función `getUserClaims()` en nuestros SDKs para ayudarte a decodificar el token de identificación y obtener las reclamaciones del usuario. Sin embargo, el estado en caché no se actualiza hasta que el usuario vuelve a iniciar sesión. Si quieres obtener en tiempo real la información del usuario del servidor OIDC, usa `fetchUserInfo()` en su lugar. ## Beneficios y características de Logto Logto está construido siguiendo estrictamente el protocolo OIDC, proporcionando al mismo tiempo características y beneficios adicionales para desarrolladores y empresas: 1. SDKs convenientes: Los SDKs de Logto simplifican la gestión de tokens para ti. No tienes que almacenar manualmente tu token de actualización y token de acceso tú mismo. Simplemente llama a `getAccessToken()` cada vez y el SDK siempre intentará reutilizar el token de acceso almacenado, o lo renovará automáticamente si está caducado. 2. Rotación del token de actualización: Logto aplica el mecanismo de rotación del token de actualización para asegurar que tu token de actualización siempre se renueva después de que se consume, lo que mitiga el riesgo de ser filtrado o comprometido. Aunque todavía puedes desactivarlo en la consola de administración, pero se recomienda fuertemente mantenerlo activado. 3. Rendimiento optimizado: Con la ayuda de los tokens de identificación, siempre puedes obtener información básica del usuario sin solicitar al servidor. Aprovecha el estado `isAuthenticated` y la función `getIdTokenClaims()` proporcionada por los SDKs de Logto para verificar el estado de autenticación del usuario y decodificar las reclamaciones del usuario en el lado del cliente. 4. Seguridad mejorada: Logto obliga a las conexiones seguras entre el cliente y el servidor de autorización utilizando HTTPS y TLS. Esto protege tus tokens contra el posible robo por parte de terceros no autorizados y garantiza la seguridad de tu sistema. ## Conclusión En el protocolo OIDC, los Tokens de Actualización, Tokens de Acceso y Tokens de ID trabajan juntos para proporcionar una autenticación de usuario segura e ininterrumpida. - Los tokens de actualización eliminan la intervención del usuario para nuevos tokens de acceso. - Los tokens de acceso proporcionan autorización para acceder a recursos protegidos. - Los tokens de ID proporcionan información de usuario en caché en el cliente, mejorando el rendimiento. Comprender el papel y la importancia de estos tokens es crucial para los desarrolladores que implementan la autenticación OIDC en sus aplicaciones. Al elegir Logto, los desarrolladores y las empresas pueden desbloquear todo el potencial de dichas características OIDC, integrar sistemas de autenticación robustos y seguros que protegen los datos del usuario y proporcionan una experiencia de usuario fluida. Prueba Logto Hoy