Getting Started with OAuth 2.0

Guía concisa de 80 páginas publicada por O'Reilly y redactada por Ryan Boyd (quien integró el equipo de relaciones de desarrolladores en Google), diseñada para introducir el núcleo conceptual del protocolo de autorización OAuth 2.0 (RFC 6749). Está dirigida a desarrolladores web y de aplicaciones móviles de nivel principiante en seguridad que necesitan consumir APIs públicas (como Google o Facebook) para acceder a los recursos del usuario final sin solicitar ni almacenar sus contraseñas en texto claro. Requiere únicamente conocimientos básicos de llamadas HTTP y desarrollo web estándar.

El libro aborda la distinción esencial entre autenticación y autorización delegada, definiendo con precisión los cuatro roles fundamentales del protocolo: Resource Owner, Client, Authorization Server y Resource Server. Desglosa paso a paso los cuatro flujos de concesión clásicos: el flujo de código de autorización (Authorization Code flow) para aplicaciones con servidor web, el flujo implícito (Implicit flow) para clientes en el navegador, el flujo de credenciales del propietario del recurso (Resource Owner Password Credentials) y el flujo de credenciales de cliente (Client Credentials) para procesos sin usuario humano. Ilustra las solicitudes y respuestas de red con peticiones HTTP en crudo, comandos cURL y ejemplos de código en PHP y JavaScript, explicando además el manejo de tokens de acceso (Access Tokens), tokens de actualización (Refresh Tokens), Bearer Tokens y una introducción preliminar a OpenID Connect.

La obra adopta un enfoque eminentemente práctico y pedagógico sin construir un proyecto integral complejo; en su lugar, se apoya en scripts de demostración, pruebas con cURL e integraciones puntuales de código para visualizar cómo viajan los tokens a través del cable. Su mayor virtud es la capacidad para explicar de manera breve, clara y digerible un estándar que suele resultar confuso al inicio. Sin embargo, al haber sido publicado en 2012, no cubre revisiones modernas esenciales como el uso obligatorio de PKCE en clientes públicos ni la depreciación del flujo implícito dictada por las mejores prácticas actuales de la IETF. Resulta una excelente lectura histórica e introductoria, pero debe complementarse con perfiles de seguridad modernos antes de ir a producción.