La desvinculación puede iniciarse desde tu plataforma o Google, y la visualización de un estado de vínculo coherente en ambas proporciona la mejor experiencia del usuario. La compatibilidad con un extremo de revocación de tokens o la Protección integral de la cuenta es opcional para la vinculación de Cuentas de Google.
Las cuentas pueden desvincularse según los siguientes criterios:
- Solicitud del usuario de
- una aplicación de Google o la configuración de la cuenta de Google
- Tu plataforma
- No se pudo renovar un token de actualización vencido
- Otros eventos iniciados por ti o Google Por ejemplo, la suspensión de la cuenta por servicios de detección de amenazas y abuso.
El usuario solicitó desvincularse de Google
La desvinculación de la cuenta iniciada a través de la Cuenta de Google o la app de un usuario borra los tokens de acceso y actualización emitidos con anterioridad, quita el consentimiento del usuario y, de manera opcional, llama al extremo de revocación de tokens si elegiste implementar uno.
El usuario solicitó desvincularse de tu plataforma
Debes proporcionar un mecanismo para desvincular a los usuarios, como una URL a su cuenta. Si no ofreces una forma de desvincular tus usuarios, incluye un vínculo a la Cuenta de Google para que los usuarios puedan administrar sus cuentas vinculadas.
Puedes optar por implementar el uso compartido de incidentes y riesgos (RISC) y notificar a Google sobre los cambios en el estado de vinculación de las cuentas de usuario. Esto permite una mejor experiencia del usuario en la que tu plataforma y Google muestran un estado de vinculación actual y coherente sin necesidad de usar una solicitud de token de actualización o acceso para actualizar el estado de vinculación.
Vencimiento del token
Para proporcionar una experiencia del usuario sin inconvenientes y evitar interrupciones del servicio, Google intenta renovar los tokens de actualización casi al final de su ciclo de vida. En algunos casos, es posible que se requiera el consentimiento del usuario para volver a vincular las cuentas cuando un token de actualización no esté disponible.
Diseñar tu plataforma de forma que admita varios tokens de actualización y acceso sin vencimiento puede minimizar las condiciones de carrera presentes en los intercambios cliente-servidor entre entornos agrupados, evitar la interrupción del usuario y minimizar las situaciones complejas y el manejo de errores. Si bien tienen coherencia eventual, es posible que los tokens anteriores y recién emitidos caduquen durante un período corto durante el intercambio de renovación de tokens cliente-servidor y antes de la sincronización del clúster. Por ejemplo, una solicitud de Google a tu servicio que usa el token de acceso anterior no vencido ocurre justo después de que emites un token de acceso nuevo, pero antes de que se realice la sincronización de recepción y clúster en Google. Se recomiendan medidas de seguridad alternativas para la actualización de la rotación de tokens.
Otros eventos
Las cuentas se pueden desvincular por varios motivos, como la inactividad, la suspensión, el comportamiento malicioso, etcétera. En esas situaciones, tu plataforma y Google pueden administrar mejor las cuentas de usuario y volver a vincularlas notificando entre sí los cambios en el estado de la cuenta y la vinculación.
Implementa un extremo de revocación de tokens para que Google lo llame y notifica a Google sobre los eventos de revocación de tokens mediante RISC a fin de garantizar que tu plataforma y Google mantengan un estado de vínculo de cuenta de usuario coherente.
Extremo de revocación del token
Si admite un extremo de revocación de token de OAuth 2.0, su plataforma puede recibir notificaciones de Google. Esto le permite informar a los usuarios de los cambios de estado de los enlaces, invalidar un token y limpiar las credenciales de seguridad y las autorizaciones.
La solicitud tiene la siguiente forma:
POST /revoke HTTP/1.1 Host: oauth2.example.com Content-Type: application/x-www-form-urlencoded client_id=GOOGLE_CLIENT_ID&client_secret=GOOGLE_CLIENT_SECRET&token=TOKEN&token_type_hint=refresh_token
Su punto final de revocación de token debe poder manejar los siguientes parámetros:
Parámetros de punto final de revocación | |
---|---|
client_id | Una cadena que identifica el origen de la solicitud como Google. Esta cadena debe estar registrada en su sistema como identificador único de Google. |
client_secret | Una cadena secreta que registró en Google para su servicio. |
token | El token que se va a revocar. |
token_type_hint | (Opcional) El tipo de token que se está access_token , ya sea un access_token o un refresh_token . Si no se especifica, el valor predeterminado es access_token . |
Devuelve una respuesta cuando el token se elimina o no es válido. Vea lo siguiente para ver un ejemplo:
HTTP/1.1 200 Success Content-Type: application/json;charset=UTF-8
Si el token no se puede eliminar por algún motivo, devuelva un código de respuesta 503, como se muestra en el siguiente ejemplo:
HTTP/1.1 503 Service Unavailable Content-Type: application/json;charset=UTF-8 Retry-After: HTTP-date / delay-seconds
Google vuelve a intentar la solicitud más tarde o según lo solicite Retry-After
.
Protección integral de la cuenta (RISC)
Si admites la Protección integral de la cuenta, tu plataforma puede notificar a Google cuando se revocan los tokens de acceso o actualización. Esto permite a Google informar a los usuarios sobre los cambios de estado del vínculo, la invalidación del token, la limpieza de las credenciales de seguridad y otorgamientos de autorización.
La Protección integral de la cuenta se basa en estándar RISC desarrollado en la OpenID Foundation.
Un token de evento de seguridad se usa para notificar a Google sobre la revocación de tokens.
Cuando se decodifica, un evento de revocación de token se parece al siguiente ejemplo:
{
"iss":"http://risc.example.com",
"iat":1521068887,
"aud":"google_account_linking",
"jti":"101942095",
"toe": "1508184602",
"events": {
"https://schemas.openid.net/secevent/oauth/event-type/token-revoked":{
"subject_type": "oauth_token",
"token_type": "refresh_token",
"token_identifier_alg": "hash_SHA512_double",
"token": "double SHA-512 hash value of token"
}
}
}
Los tokens de eventos de seguridad que utilizas para notificar a Google sobre eventos de revocación de tokens deben cumplir con los requisitos de la siguiente tabla:
Eventos de revocación de tokens | |||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|
iss |
Reclamo de la entidad emisora: Esta es una URL que alojas y se comparte con ella. a Google durante el registro. | ||||||||||
aud |
Reclamo de público: Identifica a Google como el destinatario de JWT. Integra
se debe establecer en google_account_linking . |
||||||||||
jti |
Reclamo de ID de JWT: es un ID único que generas para cada token de evento de seguridad. | ||||||||||
iat |
Emitido en el momento del reclamo: Este es un valor de NumericDate
que representa el momento en que se creó el token de evento de seguridad. |
||||||||||
toe |
Fecha y hora del evento: Esta es una opción opcional
NumericDate que representa la hora a la que se
se revocó el token. |
||||||||||
exp |
Reclamación de la hora de vencimiento: No incluyas este campo, dado que ya se realizó el evento que generó esta notificación. | ||||||||||
events |
|
Para obtener más información sobre los tipos y formatos de campo, consulta Token web JSON (JWT).