OAuth

Що це означає

OAuth - відкритий стандарт делегування доступу. Він дає змогу одному застосунку звертатися до даних користувача в іншому застосунку, не знаючи його пароля. Користувач входить безпосередньо в постачальника, погоджує обсяг доступу, і застосунок отримує тимчасовий токен, який можна використати лише для дозволених операцій.

Ключове поняття - обсяг доступу, англійською scope. Бухгалтерська програма може отримати дозвіл читати рух коштів на рахунку, але не вводити платежі. Токени мають обмежений строк дії й оновлюються, тому навіть у разі їх витоку шкода менша, ніж від витоку пароля, який відкриває все й діє довго.

Сьогодні використовують версію OAuth 2.0, часто разом з OpenID Connect, що додає перевірку особи. Кнопки на кшталт "Увійти через Google" чи Microsoft побудовані саме на цих стандартах. Для фірми це означає менше паролів і одне центральне місце, де доступи вмикають і вимикають.

Як це працює на практиці

У банківській сфері OAuth - основа відкритого банкінгу за директивою PSD2. Коли ви пов'язуєте облікову систему з банком, банк перенаправляє вас на свій вхід, перевіряє посиленою автентифікацією, і бухгалтерська програма отримує токен для завантаження виписок. Банк ніколи не передає ваші дані для входу третій стороні.

У хмарних застосунках OAuth пов'язує CRM, виставлення рахунків, інтернет-магазин, календар чи сховище файлів. Замість того щоб ділитися паролями між системами, кожне підключення дозволяють окремо й окремо ж скасовують. Порівняно зі статичним API-ключем перевага ще й у тому, що доступ прив'язаний до конкретного користувача та його прав.

У межах управління доступом радимо вести перелік підключених застосунків і регулярно його перевіряти. Більшість сервісів показують його в налаштуваннях облікового запису як підключені або авторизовані застосунки. Непотрібні підключення, особливо після завершення співпраці з підрядником, треба відкликати.

На що звернути увагу

OAuth захищає пароль, але не самі дані. Застосунок із дозволеним доступом може їх читати й зберігати, тому під час вибору інструмента слід оцінити його надійність і те, чи є він обробником за GDPR. Крім того, зловмисники використовують підроблені запити згоди, які виглядають як легітимні застосунки.

Підключення до банку діють обмежений час, після чого їх треба поновити. Якщо виписки перестали завантажуватися в облік, найчастіша причина - саме згода, строк якої минув. Варто стежити за сповіщеннями й планувати поновлення так, щоб у бухгалтерії не виникло прогалини.