# Czym jest OAuth 2.0?

> OAuth 2.0 to framework autoryzacyjny pozwalający klientowi uzyskać ograniczony dostęp do usługi HTTP bez otrzymywania poświadczeń właściciela zasobu.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/oauth-2-0/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Serwer autoryzacyjny wydaje token dostępu, który serwer zasobów akceptuje pod zdefiniowanymi warunkami. Klient może działać w imieniu użytkownika po delegowanej autoryzacji lub we własnym imieniu w przepływie maszyna–maszyna.

OAuth definiuje role i przepływy protokołu, a nie jeden format tokenu czy uniwersalny model uprawnień. Dla aplikacji zwróconych do użytkownika aktualne praktyki bezpieczeństwa faworyzują przepływ z kodem autoryzacyjnym z Proof Key for Code Exchange (PKCE). Implementacje muszą wiązać odpowiedzi z właściwym klientem i URI przekierowania, chronić kody autoryzacyjne i tokeny odświeżania oraz zapewniać, że tokeny dostępu są akceptowane tylko przez zamierzone serwery zasobów.

### Najważniejsze punkty

- **Kluczowe role:** Rozróżniaj właściciela zasobu, klienta, serwer autoryzacyjny i serwer zasobów; dokumentuj, gdy jeden komponent pełni więcej niż jedną rolę.
- **Kontrole tokenów:** Ograniczaj odbiorcę, zakres, czas życia i przechowywanie; waliduj tokeny w pełni; rotuj lub unieważniaj tokeny odświeżania tam, gdzie stosowne; i unikaj eksponowania tokenów bearer w URL-ach lub logach.
- **Aktualne wybory przepływów:** Przestrzegaj najlepszej aktualnej praktyki bezpieczeństwa OAuth: klienci nie powinni używać grantu implicit poza przypadkami, gdzie jego określone ryzyka wstrzyknięcia i wycieku są złagodzone, i nie mogą używać grantu poświadczeń hasłowych właściciela zasobu.
- **Istotne ograniczenie:** OAuth 2.0 nie definiuje uwierzytelniania użytkownika ani nie dowodzi, kto używa tokena dostępu. Ważny token nie zastępuje też autoryzacji na poziomie obiektu, funkcji lub transakcji wewnątrz serwera zasobów.

### Powiązane terminy

[Autoryzacja](<https://yellowcube.eu/pl/glossary/authorization/>) · [OpenID Connect (OIDC)](<https://yellowcube.eu/pl/glossary/openid-connect/>) · [Token uwierzytelniający](<https://yellowcube.eu/pl/glossary/authentication-token/>) · [Bezpieczeństwo API](<https://yellowcube.eu/pl/glossary/application-programming-interface-security/>) · [Klucz API](<https://yellowcube.eu/pl/glossary/api-key/>)

### Źródła

[RFC 6749: The OAuth 2.0 Authorization Framework](https://datatracker.ietf.org/doc/html/rfc6749) · [RFC 6750: OAuth 2.0 Bearer Token Usage](https://datatracker.ietf.org/doc/html/rfc6750) · [RFC 9700: Best Current Practice for OAuth 2.0 Security](https://datatracker.ietf.org/doc/html/rfc9700)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.