Laboratorio del ciclo de vida de tokens
Revisa una cola de configuraciones de tokens OAuth / OIDC y señala cada defecto del ciclo de vida. Se puntúa la tasa de acierto frente a los falsos positivos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Una brecha de tokens rara vez es una firma descifrada: es un ciclo de vida mal configurado. En este laboratorio en el navegador trabajas una cola de unas 20 configuraciones de tokens OAuth 2.0 / OIDC y das un veredicto en cada una: correcta, o el defecto concreto. Los defectos repartidos por la cola son: un token de acceso que dura demasiado, un token de actualización sin caducidad absoluta, sin rotación del token de actualización, rotación sin detección de reutilización (sin revocar toda la familia), un token de actualización en un almacenamiento al alcance de XSS como localStorage, sin revocación en el servidor al cerrar sesión o ante una brecha, y un alcance demasiado amplio sin restricción de audiencia. Se te puntúa por la tasa de acierto frente a los falsos positivos: señalar una configuración correcta (un almacén en el enclave seguro de un móvil, un servicio sin token de actualización, un «recordarme» largo pero acotado) es un fallo en sí mismo. El contenido sigue los estándares reales: RFC 6749, RFC 9700 (OAuth 2.0 Security BCP), RFC 7009 (revocación) y RFC 8707 (indicadores de recurso). Es un laboratorio Pro.
- Revisa cada configuración: tipo de cliente, duración de los tokens de acceso y de actualización, rotación, detección de reutilización, almacenamiento, revocación y alcance y audiencia.
- Da tu veredicto: correcta, o nombra el defecto concreto del ciclo de vida.
- No señales configuraciones correctas: los falsos positivos tienen una penalización adicional.
- Lee tras la evaluación por qué la respuesta correcta es la correcta en cada configuración.
Preguntas frecuentes
¿Qué es el laboratorio del ciclo de vida de tokens?
Un ejercicio en el navegador en el que trabajas una cola de configuraciones de gestión de tokens OAuth 2.0 / OIDC (tipo de cliente, duración de los tokens de acceso y de actualización, rotación del token de actualización, detección de reutilización, dónde se guarda el token de actualización, revocación al cerrar sesión y ante una brecha, y el alcance y la audiencia concedidos) y das a cada una un veredicto: correcta, o el defecto concreto del ciclo de vida. Se te puntúa por cuántos defectos reales detectas con el hallazgo exacto frente a cuántas configuraciones correctas señalas por error.
¿Qué decisiones sobre el ciclo de vida de tokens enseña?
Las reales: los tokens de acceso deben ser de vida corta (minutos) porque normalmente no se pueden revocar de forma individual, mientras que los tokens de actualización duran más pero deben tener un límite absoluto estricto; en clientes públicos, los tokens de actualización deben rotar en cada uso, y un token ya rotado que se reutiliza indica robo y obliga a revocar toda la familia de tokens; los tokens de actualización nunca deben estar en localStorage ni en una cookie sin httpOnly donde XSS pueda leerlos; el cierre de sesión y la respuesta a una brecha deben revocar los tokens en el servidor, no solo en el cliente; y los tokens deben llevar un alcance de mínimo privilegio ligado a una única audiencia o recurso para que un token filtrado no se acepte en todas partes.
¿Se comunica con un proveedor de identidad real?
No. No se sube nada, no se emite ningún token y no hay llamadas de red ni criptográficas. Los escenarios son configuraciones realistas de gestión de tokens redactadas e incluidas en la página, cada una con un único veredicto correcto basado en RFC 6749, RFC 9700, RFC 7009 y RFC 8707. Se ejecuta por completo en tu navegador: sin instalación y sin enviar nada a ningún sitio.
¿Para quién es?
Para ingenieros de plataforma, identidad y aplicaciones que diseñan flujos de autenticación, ingenieros de seguridad que revisan integraciones OAuth/OIDC y cualquiera que prepare una entrevista de seguridad o de backend y quiera entender por qué un token de acceso de 24 horas, un token de actualización que nunca caduca, la rotación sin detección de reutilización o un token de actualización en localStorage son hallazgos, y por qué no lo son un almacén en el enclave seguro de un móvil, un servicio client-credentials sin token de actualización o un JWT sin estado de vida corta.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.