Aplicaciones confidenciales y públicas

Describe la diferencia entre los tipos de aplicaciones confidenciales y públicas.

Según la especificación de OAuth 2.0, las aplicaciones pueden clasificarse como confidenciales o públicas. La principal diferencia radica en si la aplicación puede almacenar credenciales (como un ID de cliente y un secreto) de forma segura. Esto afecta al tipo de autenticación que pueden usar las aplicaciones.

Confidencial/pública y propia/de terceros son clasificaciones independientes. Confidencial o pública describe la capacidad de autenticación de la aplicación (si puede almacenar un secreto). Propia o de terceros describe la relación de confianza (quién es el propietario y quién opera la aplicación). Para obtener más información, consulte Aplicaciones propias y de terceros.

Cuando crea una aplicación en el Auth0 Dashboard, Auth0 le preguntará qué tipo de aplicación de Auth0 desea asignar a la nueva aplicación y usará esa información para determinar si la aplicación es confidencial o pública.

Para obtener más información, consulte Compruebe si una aplicación es confidencial o pública.

​

Aplicaciones confidenciales

Las aplicaciones confidenciales pueden almacenar credenciales de forma segura sin exponerlas a terceros no autorizados. Requieren un servidor backend de confianza para almacenar el secreto o los secretos.

​

Tipos de concesión

Las aplicaciones confidenciales usan un backend de confianza y pueden usar tipos de concesión que requieren especificar su ID de cliente y Secreto del cliente (o credenciales registradas alternativas) para autenticarse al llamar al endpoint Obtener token de la API de autenticación de Auth0. Las aplicaciones confidenciales pueden usar los métodos de autenticación Client Secret Post, Client Secret Basic o Private Key JWT.

Se consideran aplicaciones confidenciales las siguientes:

• Una aplicación web con un backend seguro que usa el Flujo de código de autorización, el flujo de contraseña del propietario del recurso o el flujo de contraseña del propietario del recurso con soporte para realm
• Una aplicación de máquina a máquina (M2M) que usa el flujo de credenciales del cliente

​

ID Token

Como las aplicaciones confidenciales pueden almacenar secretos, se les pueden emitir ID Token firmados de una de estas dos maneras:

• Simétricamente, usando su Secreto del cliente (HS256)
• Asimétricamente, usando una clave privada (RS256)

​

Aplicaciones públicas

Las aplicaciones públicas no pueden guardar credenciales de forma segura.

​

Tipos de concesión

Las aplicaciones públicas solo pueden usar tipos de concesión que no requieran el uso de su Secreto del cliente. No pueden enviar un Secreto del cliente porque no pueden mantener la confidencialidad de las credenciales necesarias.

Estas son aplicaciones públicas:

• Una aplicación nativa de escritorio o móvil que usa el Flujo de código de autorización con PKCE
• Una aplicación web del lado del cliente basada en JavaScript (como una aplicación de una sola página) que usa la concesión Flujo implícito

​

ID Token

Como las aplicaciones públicas no pueden almacenar secretos, los ID Token emitidos para ellas deben:

• Firmarse asimétricamente con una clave privada (RS256)
• Verificarse con la clave pública correspondiente a la clave privada utilizada para firmar el token

​

Más información

• Compruebe si una aplicación es confidencial o pública
• Aplicaciones propias y de terceros
• Aplicaciones de terceros
• Consentimiento del usuario y aplicaciones de terceros