OpenID Connect

OpenID Connect (OIDC) es una capa de identidad sobre OAuth 2.0 que proporciona autenticación de usuario e información de identidad, y es el estándar de facto para el SSO.

Propósito

Añade autenticación de usuario estandarizada y claims de identidad sobre la autorización de OAuth.

Mecanismo

Sobre OAuth 2.0, añade el ID Token (un JWT con claims de identidad del usuario) y un endpoint UserInfo. El scope openid activa OIDC. El ID Token lleva claims como sub, iss, aud y exp. Se admite descubrimiento vía .well-known/openid-configuration.

Casos de uso

Inicio de sesión SSO entre dominios
Verificación de identidad de terceros
Federación de identidad empresarial
Autenticación móvil

Ejemplos

entrada

scope=openid → ID Token

Output

A JWT carrying the user's identity

Authentication plus authorization

Errores comunes

Confusing OAuth (authorization) with OIDC (authentication): Remember: OIDC = OAuth plus an identity layer

Términos relacionados

OAuth 2.0 es un marco de autorización que permite a aplicaciones de terceros acceder a los recursos del usuario con su consentimiento, sin compartir contraseñas, mediante tokens.

JWT (JSON Web Token) es un token compacto y autocontenido que transmite claims de forma segura como objeto JSON, ampliamente usado para autenticación sin estado e intercambio de información.

Un token Bearer es un tipo de token que funciona puramente por posesión: se envía en la cabecera Authorization: Bearer <token>, de modo que quien lo posea puede usarlo, sin credenciales adicionales.

References