Diferencia entre autenticación y autorización

Cuando hablamos de seguridad en aplicaciones web y servicios REST, dos términos clave que a menudo se confunden son autenticación y autorización. Aunque suenan similares, juegan roles distintos en la protección de la información. La autenticación es el acto de confirmar la identidad. Es como cuando entras en un edificio y muestras tu identificación para verificar que eres quien dices ser. En el mundo digital, esto se asemeja a cuando introduces tu nombre de usuario y contraseña en un sistema, y el sistema los verifica antes de concederte acceso. Por ejemplo, en la autenticación básica HTTP, tu nombre de usuario y contraseña se envían al servidor codificados en Base64 en el encabezado de la solicitud HTTP. O en el caso de la autenticación basada en tokens, como los JWT, después de que te autentiques el servidor otorga un token firmado. Luego usarás este token en las cabeceras HTTP para todas tus solicitudes posteriores, demostrando así tu identidad sin tener que volver a ingresar tus credenciales cada vez. Luego está la autorización. La autorización es el siguiente paso después de que te autentiques. Aquí es donde el sistema decide si tienes permiso para hacer lo que estás intentando hacer, como acceder a una página o modificar un archivo. Piénsalo como las restricciones en lo que puedes hacer en un edificio dependiendo de tu pase. Un buen ejemplo de autorización es el control de acceso basado en roles o RBAC. En este sistema, tu rol en la organización como administrador, usuario regular o invitado determina tus permisos. Por ejemplo, solo aquellos con el rol de administrador pueden eliminar registros en una base de datos. Otro ejemplo es el OAuth, que permite que compartas información entre servicios sin revelar tu contraseña. Por ejemplo, puedes permitir que una aplicación de fotografía acceda a tus fotos en un servicio de almacenamiento en la nube sin darle tu contraseña de servicio en la nube y utilizando un token de acceso. Ahora que ya lo conoces, sigamos evaluando la seguridad en las API.