¿Qué es un token de autenticación?
Un token de autenticación es una credencial utilizada para representar una identidad o una sesión ya verificada. Los tokens son habituales en aplicaciones web, APIs y otros sistemas donde el cliente necesita demostrar que tiene una autenticación válida.
¿Qué es un token de autenticación?
Un token de autenticación es una credencial que permite a un sistema representar una identidad, sesión o autorización previamente verificada.
Después de autenticarse, una aplicación puede utilizar un token para identificar las siguientes solicitudes sin tener que enviar nuevamente las credenciales principales en cada operación. Los tokens deben protegerse porque su exposición puede permitir accesos no autorizados.
¿Cómo funciona un token de autenticación?
Un token aparece normalmente después de un proceso de autenticación y puede utilizarse posteriormente para representar una sesión o credencial válida.
Se verifica la identidad
El usuario, dispositivo o servicio proporciona las credenciales necesarias para demostrar su identidad al sistema.
Se genera o entrega un token
Después de una autenticación válida, el sistema puede emitir un token asociado con la identidad, sesión o permisos correspondientes.
El cliente utiliza el token
El cliente puede presentar el token en solicitudes posteriores para que el servidor compruebe si puede acceder al recurso solicitado.
Un token no es necesariamente una contraseña
Un token puede representar una autenticación o sesión válida, pero funciona de manera diferente a una contraseña utilizada para iniciar el proceso.
Credencial principal
La contraseña es un secreto que el usuario proporciona para demostrar conocimiento durante la autenticación.
Credencial posterior
El token puede representar que una autenticación o sesión ya fue completada correctamente.
No todo token permite todo
Un token puede estar asociado a determinados permisos, recursos, alcances, tiempos de expiración o condiciones.
Principales tipos de tokens utilizados en sistemas digitales
| Tipo | Uso habitual | Ejemplo | Característica |
|---|---|---|---|
| Token de acceso | Acceder a recursos protegidos. | API o aplicación web. | Puede incluir permisos o alcances. |
| Token de sesión | Mantener una sesión autenticada. | Aplicación web. | Representa una sesión activa. |
| Token de actualización | Obtener nuevos tokens de acceso. | Sistemas con sesiones renovables. | Puede tener una vigencia diferente al token de acceso. |
| JWT | Transportar información verificable entre sistemas. | API o aplicación distribuida. | Es un formato de token, no un método de autenticación por sí mismo. |
¿Qué es un token de acceso?
Un token de acceso es una credencial utilizada para acceder a determinados recursos después de completar un proceso de autenticación.
Recursos protegidos
Una aplicación o API puede comprobar el token antes de permitir el acceso a información o funciones que requieren autenticación.
Permisos
Dependiendo del sistema, un token puede estar asociado a determinados permisos o alcances que limitan los recursos disponibles.
Expiración
Algunos tokens tienen un tiempo de validez limitado y dejan de ser aceptados después de su expiración o revocación.
¿Qué es un token de sesión?
Un token de sesión es una credencial asociada con una sesión autenticada que permite al servidor reconocer solicitudes posteriores realizadas por el mismo cliente.
Inicio de sesión
Después de validar las credenciales, el sistema puede crear una sesión y asociar una credencial con ella.
Solicitudes posteriores
El navegador o aplicación presenta la información asociada a la sesión para que el servidor pueda reconocer al usuario autenticado.
Finalización
Una sesión puede invalidarse al cerrar sesión, alcanzar su vencimiento o ser revocada según las reglas del sistema.
¿Cómo se utilizan los tokens en una API?
Las APIs pueden utilizar tokens para identificar al cliente que realiza una solicitud y determinar si tiene autorización para acceder a determinados recursos.
Header Authorization
Un mecanismo habitual consiste en enviar el token mediante una cabecera HTTP de autorización, aunque la implementación concreta depende de la API.
Validación
El servidor debe verificar la validez del token antes de permitir que la solicitud acceda a un recurso protegido.
Autorización
Un token válido no significa necesariamente que pueda acceder a todos los recursos. La API puede aplicar permisos, scopes u otras reglas de autorización.
¿Qué es un JWT?
JWT o JSON Web Token es un formato utilizado para representar información de manera compacta y que pueda verificarse mediante mecanismos criptográficos.
Contenido
Un JWT puede contener información denominada claims, que describen determinados datos asociados con el token y su contexto.
Firma
Dependiendo de su configuración, un JWT puede estar firmado para permitir al receptor verificar que su contenido no fue alterado y que proviene de una fuente que posee la clave correspondiente.
JWT no significa autenticación automática
Utilizar JWT no garantiza por sí solo un sistema seguro. La forma en que se emite, almacena, valida, expira y revoca determina parte importante de su seguridad.
¿Qué es un token de actualización?
Un token de actualización o refresh token puede utilizarse para obtener un nuevo token de acceso cuando este deja de ser válido, siempre que el sistema permita ese mecanismo.
Token de acceso
El token de acceso suele utilizarse para acceder a recursos protegidos durante un periodo determinado.
Renovación
El token de actualización permite solicitar un nuevo token de acceso sin repetir necesariamente todo el proceso de autenticación inicial.
Protección
Los tokens de actualización deben almacenarse y protegerse cuidadosamente porque pueden utilizarse para obtener nuevas credenciales de acceso.
¿Cuál es la relación entre un token y una cookie?
Un token y una cookie son conceptos diferentes, aunque una aplicación web puede utilizar una cookie para transportar o asociar información de autenticación con una sesión.
Cookie
Una cookie es un mecanismo mediante el cual el navegador puede almacenar y enviar determinados datos asociados con un sitio web.
Token
Un token es una credencial o representación de identidad, sesión, autorización u otra información según el sistema que lo emita.
Pueden trabajar juntos
Una aplicación puede almacenar una credencial de sesión en una cookie y utilizar esa información para identificar la sesión correspondiente en el servidor.
¿Por qué es importante proteger los tokens?
Un token que permite representar una sesión o acceder a recursos protegidos puede convertirse en una credencial sensible si llega a manos de un tercero.
No compartir tokens
Los tokens de acceso o sesión no deben compartirse porque pueden permitir que otra persona realice solicitudes utilizando la identidad o permisos asociados.
Expiración y revocación
Los sistemas pueden establecer tiempos de expiración y mecanismos de revocación para limitar el periodo durante el cual un token puede ser utilizado.
Almacenamiento
La forma de almacenar un token depende de la arquitectura y del entorno, pero siempre debe considerarse información sensible cuando permite acceder a recursos protegidos.
¿Un token de autenticación también sirve para autorizar?
Puede participar en el proceso de autorización, pero autenticación y autorización siguen siendo conceptos diferentes.
Identidad
El token puede representar que una identidad fue autenticada o que dispone de una credencial válida.
Permisos
El sistema puede utilizar información asociada al token, como scopes, roles o claims, para determinar qué acciones están permitidas.
Decisión final
El servidor debe aplicar sus reglas de autorización para decidir si permite la operación solicitada sobre el recurso correspondiente.
¿Cómo proteger un token de autenticación?
Los tokens deben tratarse como credenciales sensibles cuando permiten representar una sesión o acceder a recursos protegidos.
Evita exponerlos
No incluyas tokens sensibles en URLs, logs, capturas de pantalla o sistemas donde puedan quedar expuestos innecesariamente.
Utiliza expiración
Cuando la arquitectura lo permita, establecer una vigencia limitada puede reducir el periodo de utilización de un token comprometido.
Valida siempre en el servidor
El servidor debe validar el token y comprobar las condiciones de autenticación y autorización antes de procesar una operación protegida.
¿Un token garantiza que un sistema sea seguro?
No. Un token es solamente una pieza del sistema de autenticación y autorización. Su seguridad depende de cómo se emite, protege, transmite, valida, expira y revoca.
Token comprometido
Si un atacante obtiene un token válido, puede intentar utilizarlo mientras siga siendo aceptado por el sistema y sus permisos lo permitan.
Implementación
Un sistema puede tener tokens técnicamente válidos y aun así presentar problemas de seguridad debido a una mala gestión de permisos, almacenamiento o recuperación.
Seguridad integral
La protección de una aplicación requiere combinar autenticación, autorización, validación de entradas, gestión de sesiones y otras medidas de seguridad.
Tokens de autenticación: conceptos principales
| Concepto | Significado | Ejemplo | Función |
|---|---|---|---|
| Token de autenticación | Credencial que representa una identidad o sesión. | Token de acceso. | Representar una autenticación válida. |
| Token de acceso | Credencial para acceder a recursos protegidos. | Token utilizado en una API. | Permitir solicitudes autorizadas. |
| Token de sesión | Credencial asociada a una sesión. | Sesión web. | Mantener el acceso de una sesión autenticada. |
| Refresh token | Credencial utilizada para renovar acceso. | Renovación de token. | Obtener un nuevo token de acceso. |
| JWT | Formato de token basado en JSON Web Token. | Token firmado para una API. | Transportar información verificable. |
Guías relacionadas sobre autenticación y seguridad
Elige el tema que quieras profundizar:
Preguntas frecuentes sobre tokens de autenticación
Es una credencial utilizada para representar una identidad, sesión o autenticación válida dentro de un sistema.
Sirve para que una aplicación o servidor pueda reconocer una autenticación previa y controlar el acceso a recursos protegidos.
Es una credencial utilizada para acceder a determinados recursos protegidos después de una autenticación válida.
Es una credencial asociada con una sesión autenticada que permite al servidor reconocer solicitudes posteriores del mismo cliente.
Una contraseña suele utilizarse como credencial principal durante la autenticación, mientras que un token puede representar posteriormente una sesión o credencial válida.
JWT significa JSON Web Token y es un formato utilizado para representar información que puede verificarse mediante mecanismos criptográficos. JWT no es por sí mismo un sistema completo de autenticación.
Sí. Muchos sistemas utilizan tokens con una vigencia determinada y pueden dejar de aceptarlos cuando expiran o son revocados.
Sí. Un token que permite acceder a recursos protegidos debe tratarse como información sensible porque su exposición puede permitir accesos no autorizados.
¿Qué es la autorización?
Continúa aprendiendo sobre control de acceso y descubre cómo los sistemas determinan qué recursos y acciones puede utilizar una identidad autenticada.
Ver guía →