La autorización es la etapa que decide qué recursos y acciones puede usar una identidad. Ocurre después de la autenticación, que verifica quién intenta acceder al sistema. Una persona puede estar autenticada y aun así no tener permiso para ejecutar una operación determinada.
Como funciona
La aplicación recibe una identidad, como un usuario, servicio o agente, y consulta los permisos asociados a ella. La decisión puede considerar el recurso solicitado, la acción, el contexto y las reglas definidas por la organización. Por ejemplo, visualizar un registro y eliminarlo son operaciones diferentes, aunque se refieran al mismo registro.
En una API, la autorización puede usar roles, permisos individuales o alcances asociados a un token. Un rol como "lector" puede permitir consultas, mientras que "editor" también permite cambios. El alcance delimita el acceso concedido para una integración o sesión. El sistema debe verificar los permisos en el servidor en cada operación protegida, no solo ocultar botones en la interfaz.
Una buena política concede solo lo necesario para la tarea. Este principio reduce el impacto de una cuenta comprometida o de un error de software. Los permisos también deben ser revocables, revisables y registrados de forma útil, sin exponer secretos en los logs.
Exemplo prático
Imagina un panel de una tienda virtual. Una persona de atención necesita consultar pedidos y actualizar la dirección de entrega, pero no necesita exportar toda la base de clientes ni modificar datos bancarios de la empresa. El sistema autentica a esa persona y, luego, autoriza solo las acciones previstas para su rol.
Si un agente de IA tiene una herramienta que consulta pedidos, la autorización define qué cuentas y campos puede acceder. La aplicación puede exigir aprobación humana antes de una acción de mayor impacto, como cancelar un pedido o emitir un reembolso. La respuesta del modelo no debe tratarse como prueba de permiso.
En una integración entre servicios, usa credenciales separadas por finalidad y limita sus alcances. Si una clave solo necesita leer datos, no le otorgues permiso de escritura. Al finalizar la integración, revoca la credencial y confirma que dejó de funcionar.
Para que serve
La autorización protege datos y operaciones en sitios, aplicaciones, APIs, sistemas internos y flujos con agentes. Ayuda a separar responsabilidades entre equipos y a limitar lo que cada usuario o servicio puede hacer. También es parte esencial de una arquitectura en la que varios sistemas intercambian información.
Para implementarla, primero lista los recursos y las acciones posibles. Luego, define quién puede ejecutar cada acción y en qué condiciones. Prueba tanto los caminos permitidos como los denegados, incluyendo intentos de acceder a datos de otra persona o elevar privilegios.
Revisa la política cuando cambien las funciones del equipo, las integraciones o los requisitos de negocio. Un permiso concedido hace mucho tiempo puede seguir activo sin necesidad. La autorización no sustituye la criptografía, la autenticación fuerte o la validación de entrada, pero complementa estos controles al responder una pregunta específica: ¿esta identidad puede hacer esta acción en este recurso ahora?
Diferença entre autorização e autenticação
La autenticación confirma la identidad presentada. La autorización decide qué puede acceder o modificar esa identidad. Confundir ambas las etapas puede llevar a una API que reconoce correctamente al usuario, pero libera acciones más allá de lo necesario.