Wat is OAuth? Hoe deze Facebook-, Twitter- en Google-aanmeldingsknoppen werken

Als u ooit een knop "Aanmelden met Facebook" hebt gebruikt of een app-toegang van derden tot uw Twitter-account hebt gekregen, hebt u OAuth gebruikt. Het wordt ook gebruikt door Google, Microsoft en LinkedIn, evenals vele andere accountproviders. Met OAuth kunt u in principe een website toegang geven tot bepaalde informatie over uw account zonder uw accountwachtwoord.

OAuth voor aanmelden

OAuth heeft momenteel twee belangrijke doelen op internet. Vaak wordt het gebruikt voor het gemakkelijker maken van een account en aanmelden bij een online service. Bijvoorbeeld, in plaats van een nieuwe gebruikersnaam en wachtwoord voor Spotify te maken, kunt u klikken of tikken op "Aanmelden met Facebook". De service controleert wie je bent op Facebook en maakt een nieuw account voor je aan. Wanneer u zich in de toekomst bij die service aanmeldt, ziet u dat u zich aanmeldt met hetzelfde Facebook-account en toegang krijgt tot uw account. U hoeft geen nieuw account of iets anders in te stellen: Facebook verifieert u in plaats daarvan.

Dit is heel anders dan alleen maar het wachtwoord van je Facebook-account aan de service geven. De service krijgt nooit het wachtwoord van uw Facebook-account of volledige toegang tot uw account. Het kan slechts enkele beperkte persoonlijke gegevens bekijken, zoals uw naam en e-mailadres. Het kan uw privéberichten niet bekijken of posten op uw tijdlijn.

Die "Aanmelden met Twitter", "Aanmelden met Google", "Aanmelden met Microsoft", "Aanmelden met LinkedIn" en andere soortgelijke knoppen voor andere websites werken op dezelfde manier, om

OAuth voor toepassingen van derden

OAuth wordt ook gebruikt als u apps van derden toegang geeft tot accounts zoals uw Twitter-, Facebook-, Google- of Microsoft-accounts. Hiermee kunnen deze apps van derden toegang krijgen tot delen van uw account. Ze krijgen echter nooit uw accountwachtwoord. Elke toepassing krijgt een uniek toegangstoken dat de toegang voor uw account beperkt. Een externe toepassing voor Twitter heeft bijvoorbeeld alleen de mogelijkheid om uw tweets te bekijken, maar geen nieuwe tweets te plaatsen. Dat unieke toegangstoken kan in de toekomst worden ingetrokken en alleen die specifieke app verliest de toegang tot uw account.

Als een ander voorbeeld, zou u een applicatie van derden toegang kunnen geven tot alleen uw e-mails van Gmail, maar deze beperken om iets anders te doen met uw Google-account..

Dit is heel anders dan gewoon een externe toepassing uw accountwachtwoord geven en het laten inloggen. De apps zijn beperkt in wat ze kunnen doen, en dat unieke toegangstoken betekent dat de accounttoegang op elk gewenst moment kan worden ingetrokken zonder uw belangrijkste wachtwoord en zonder de toegang van andere apps in te trekken.

Hoe OAuth Works

U zult waarschijnlijk het woord "OAuth" niet zien verschijnen wanneer u het gebruikt. Websites en apps vragen u gewoon om in te loggen met uw Facebook, Twitter, Google, Microsoft, LinkedIn of een ander type account.

Wanneer u een account kiest, wordt u naar de website van de accountprovider geleid, waar u zich moet aanmelden met dat account als u momenteel niet bent aangemeld. Als u bent aangemeld - geweldig! U hoeft zelfs geen wachtwoord in te voeren.

Zorg ervoor dat je daadwerkelijk naar de echte Facebook, Twitter, Google, Microsoft, LinkedIn of welke website van een andere service wordt geleid met een veilige HTTPS-verbinding voordat je je wachtwoord typt! Dit deel van het proces lijkt rijp voor phishing, aangezien kwaadwillende websites zich kunnen voordoen als de website van de echte service in een poging om uw wachtwoord te achterhalen..

Afhankelijk van hoe de service werkt, wordt u mogelijk automatisch aangemeld met een beetje persoonlijke gegevens of ziet u mogelijk een prompt om de toepassing toegang te geven tot een deel van uw account. U kunt zelfs kiezen naar welke informatie u de toepassing wilt geven.

Nadat u de app toegang heeft gegeven, is deze klaar. Uw service naar keuze geeft de website of applicatie een uniek toegangstoken. Het slaat dat token op en gebruikt het om in de toekomst toegang te krijgen tot deze details over je account. Afhankelijk van de toepassing kan dit alleen worden gebruikt om u te verifiëren wanneer u zich aanmeldt of om automatisch toegang te krijgen tot uw account en dingen op de achtergrond te doen. Een toepassing van derden die uw Gmail-account scant, heeft bijvoorbeeld regelmatig toegang tot uw e-mails zodat deze u een melding kan sturen als deze iets vindt.

Toegang bekijken en intrekken vanuit toepassingen van derden

U kunt de lijst met websites en applicaties van derden bekijken en beheren die toegang hebben tot uw account op de website van elke account. Het is een goed idee om deze van tijd tot tijd te controleren, omdat u mogelijk ooit toegang hebt gegeven tot uw persoonlijke informatie aan een service, deze niet langer gebruikt en bent vergeten dat de service nog steeds toegang heeft. Door de services te beperken die toegang hebben tot uw account, kunt u deze beveiligen en uw privégegevens beveiligen.

Ga naar de OAuth-website voor meer gedetailleerde technische informatie over het implementeren van OAuth.