CiberOAuth 2.0 y OpenID Connect
El flujo de login, sin misterios.
Genera PKCE, arma la URL de autorización y el canje del código, comprueba la respuesta y audita la configuración de tu proveedor según el BCP de seguridad de OAuth (RFC 9700).
1 · Tu aplicación
¿Tienes el emisor? En «Auditar proveedor» lo cargamos y rellenamos los endpoints.
2 · PKCE, state y nonce
El code_verifier se queda en tu app; al proveedor solo va su huella SHA-256 (code_challenge). Así, aunque alguien intercepte el código, no puede canjearlo.
3 · URL de autorización
4 · Comprueba la respuesta
Pega la URL a la que te devolvió el proveedor (la barra de direcciones tras iniciar sesión).
5 · Canjea el código por tokens
El código caduca en segundos o minutos y solo sirve una vez. Si el cliente es confidencial, añade su autenticación (secreto, private_key_jwt o mTLS). Para leer el ID token que recibas, usa el decodificador JWT.
Proveedor de identidad
O pega el JSON (proveedores internos o que bloquean la descarga)
La descarga se hace desde tu navegador directamente al proveedor. Solo se lee su configuración pública.