OAuth 2.1 y OpenID Connect (OIDC) forman la base de la autenticación moderna en aplicaciones web y mobile. OAuth 2.1 simplifica y endurece el estándar anterior eliminando flujos inseguros.
Novedades de OAuth 2.1
OAuth 2.1 elimina el implicit grant (inseguro para SPAs) y el resource owner password grant. El flujo recomendado es Authorization Code con PKCE para todas las aplicaciones, incluyendo SPAs y mobile apps. También prohíbe el uso de refresh tokens en flujos sin client_secret a menos que se use PKCE.
OpenID Connect: identidad sobre OAuth
OIDC extiende OAuth 2.0 con una capa de identidad. El ID Token (JWT) contiene información del usuario autenticado. El endpoint /.well-known/openid-configuration expone la configuración del proveedor (issuer, endpoints, keys).
Implementación práctica
Proveedores como Auth0, Clerk, Supabase Auth y Keycloak implementan OIDC. La mayoría de frameworks (NextAuth.js, Lucia Auth, Supabase Auth) integran OIDC de forma nativa.
Mejores prácticas
Usa PKCE en todas las aplicaciones públicas. Valida el issuer y la audiencia del ID Token. Implementa token rotation para refresh tokens. Almacena tokens de forma segura (httpOnly cookies para web, secure storage para mobile).
OAuth 2.1 y OIDC son la forma correcta de hacer autenticación delegada. En Vynta implementamos flujos OAuth seguros y optimizados para tu aplicación.