OAuth

Что это значит

OAuth - открытый стандарт делегирования доступа. Он позволяет одному приложению обращаться к данным пользователя в другом приложении, не зная его пароля. Пользователь входит напрямую у поставщика, одобряет объём доступа, и приложение получает временный токен, который можно использовать только для разрешённых операций.

Ключевое понятие - объём доступа, по-английски scope. Бухгалтерская программа может получить разрешение читать движения по счёту, но не вводить платежи. Токены имеют ограниченный срок действия и обновляются, поэтому даже при их утечке ущерб меньше, чем при утечке пароля, который открывает всё и действует долго.

Сегодня используют версию OAuth 2.0, часто в сочетании с OpenID Connect, который добавляет проверку личности. Кнопки вроде "Войти через Google" или Microsoft построены именно на этих стандартах. Для фирмы это означает меньше паролей и одно центральное место, где доступы включаются и отключаются.

Как это работает на практике

В банковской сфере OAuth - основа открытого банкинга по директиве PSD2. Когда вы связываете учётную систему с банком, банк перенаправляет вас на свой вход, проверяет строгой аутентификацией, и бухгалтерская программа получает токен для загрузки выписок. Банк никогда не передаёт ваши данные для входа третьей стороне.

В облачных приложениях OAuth связывает CRM, выставление счетов, интернет-магазин, календарь или хранилище файлов. Вместо того чтобы делиться паролями между системами, каждое подключение разрешают отдельно и отдельно же отменяют. По сравнению со статическим API-ключом плюс ещё и в том, что доступ привязан к конкретному пользователю и его правам.

В рамках управления доступом рекомендуем вести список подключённых приложений и регулярно его проверять. Большинство сервисов показывают его в настройках аккаунта как подключённые или авторизованные приложения. Ненужные подключения, особенно после окончания работы с подрядчиком, нужно отозвать.

На что обратить внимание

OAuth защищает пароль, но не сами данные. Приложение с разрешённым доступом может их читать и сохранять, поэтому при выборе инструмента нужно оценить его надёжность и то, является ли он обработчиком по GDPR. Кроме того, злоумышленники используют поддельные запросы согласия, которые выглядят как легитимные приложения.

Подключения к банку действуют ограниченное время, после чего их нужно продлить. Если выписки перестали загружаться в учёт, самая частая причина - именно истёкшее согласие. Стоит следить за уведомлениями и планировать продление так, чтобы в бухгалтерии не возникло пробела.