Autenticación vs. autorización

Conozca las diferencias entre autenticación y autorización.

Aunque a menudo se usan indistintamente, la autenticación y la autorización son funciones esencialmente distintas. En este artículo, las comparamos para mostrar cómo protegen las aplicaciones de manera complementaria.

​

¿Qué son la autenticación y la autorización?

En términos sencillos, la autenticación es el proceso de verificar quién es un usuario, mientras que la autorización es el proceso de verificar a qué tiene acceso.

Si comparamos estos procesos con un ejemplo del mundo real, cuando pasas por el control de seguridad en un aeropuerto, muestras tu identificación para autenticar tu identidad. Luego, cuando llegas a la puerta de embarque, presentas tu tarjeta de embarque al personal de la aerolínea para que puedan autorizarte a abordar tu vuelo y permitirte el acceso al avión.

​

Autenticación vs. autorización

Aquí tienes un resumen breve de las diferencias entre autenticación y autorización:

Autenticación	Autorización
Determina si los usuarios son quienes dicen ser	Determina a qué pueden y no pueden acceder los usuarios
Solicita al usuario que valide sus credenciales (por ejemplo, mediante contraseñas, respuestas a preguntas de seguridad o reconocimiento facial)	Verifica si el acceso está permitido mediante políticas y reglas
Normalmente se realiza antes de la autorización	Normalmente se realiza después de una autenticación correcta
Por lo general, transmite información mediante un ID Token	Por lo general, transmite información mediante un Token de acceso
Generalmente se rige por el protocolo OpenID Connect (OIDC)	Generalmente se rige por el marco de OAuth 2.0
Ejemplo: Los empleados de una empresa deben autenticarse en la red antes de acceder al correo electrónico corporativo	Ejemplo: Después de que un empleado se autentica correctamente, el sistema determina a qué información puede acceder

En resumen, el acceso a un recurso está protegido tanto por la autenticación como por la autorización. Si no puedes demostrar tu identidad, no se te permitirá acceder a un recurso. E incluso si puedes demostrar tu identidad, si no estás autorizado para ese recurso, se te seguirá denegando el acceso.

Auth0 tiene productos y servicios para la autenticación, como sin contraseña, autenticación multifactor (MFA) e inicio de sesión único (SSO) que puedes configurar con Auth0 Dashboard o Management API. Para la autorización, Auth0 ofrece control de acceso basado en roles (RBAC) o autorización detallada FGA).