Oauth 2.0 Server — Iniciación

Este curso está dirigido a desarrolladores y técnicos sin experiencia previa en OAuth 2.0 que necesitan comprender cómo funciona el protocolo de autorización más extendido en el ecosistema de APIs modernas. A lo largo de las 8 horas de formación, el participante explorará los fundamentos conceptuales del protocolo —sus roles, sus flujos y sus parámetros clave—, progresará hacia la ejecución práctica del flujo Authorization Code contra un proveedor real en entorno de laboratorio, y consolidará lo aprendido integrando el token obtenido en una llamada autenticada a una API protegida; al finalizar, será capaz de explicar cómo OAuth 2.0 gestiona la autorización delegada, seleccionar el grant type apropiado ante un escenario dado y completar de forma guiada un ciclo de obtención y uso de Access Token desde cero.

1. Describir los roles del protocolo OAuth 2.0 y la diferencia entre autenticación y autorización, situando la responsabilidad de cada actor en el flujo de delegación.
2. Identificar el grant type adecuado ante distintos escenarios de integración, justificando el criterio de selección con base en el tipo de cliente y el contexto de uso.
3. Describir el flujo Authorization Code paso a paso, reconociendo los parámetros HTTP clave en cada fase y el propósito del parámetro scope para limitar el acceso del cliente.
4. Ejecutar de forma guiada el flujo Authorization Code completo contra un proveedor preconfigurado, obteniendo un Access Token válido mediante Postman o curl.
5. Aplicar el Access Token obtenido en una llamada autenticada a un endpoint de API protegido, utilizando correctamente la cabecera Authorization: Bearer.
6. Identificar los errores estándar del protocolo OAuth 2.0 a partir de respuestas HTTP de error, asociando cada código a su causa probable dentro del flujo.

Bloque 1 — Fundamentos del protocolo OAuth 2.0

El curso arranca estableciendo el marco conceptual imprescindible. Se estudian los cuatro roles del protocolo —Resource Owner, Client, Authorization Server y Resource Server— y la función específica que desempeña cada uno en un escenario de delegación de acceso. A continuación se clarifica la distinción fundamental entre autenticación y autorización, precisando cuál de los dos problemas resuelve OAuth 2.0 y en qué punto del flujo interviene cada actor. Este bloque sienta la base terminológica sobre la que se construirá todo el aprendizaje posterior.

Bloque 2 — Grant types y selección del flujo adecuado

Con los roles claros, el curso aborda los cuatro grant types principales: Authorization Code, Client Credentials, Implicit y Resource Owner Password Credentials. Mediante el análisis de escenarios concretos de integración —aplicaciones web con usuario presente, servicios backend machine-to-machine, SPAs y flujos heredados— el participante aprende a seleccionar el mecanismo de concesión más apropiado en cada caso y a argumentar ese criterio de selección. Se introduce también el parámetro scope y su papel en la delimitación del acceso que el cliente puede solicitar sobre los recursos del servidor.

Bloque 3 — El flujo Authorization Code en detalle

Este bloque desglosa paso a paso el flujo Authorization Code: construcción de la URL de autorización, redirección al Authorization Server, obtención del código de autorización, intercambio de ese código por un Access Token y uso posterior del token. Se identifican y analizan los parámetros HTTP clave de cada petición y respuesta, de modo que el participante pueda leer e interpretar los mensajes del protocolo con soltura.

Bloque 4 — Práctica guiada: obtención y uso del Access Token

El bloque práctico traslada la teoría al laboratorio. Usando Postman o curl contra un proveedor preconfigurado —GitHub OAuth App o un servidor Keycloak de laboratorio—, el participante ejecuta el flujo Authorization Code completo hasta obtener un Access Token válido. Inmediatamente después aplica ese token en una llamada autenticada a un endpoint de API protegido, incluyendo la cabecera Authorization: Bearer de forma correcta y verificando la respuesta del servidor.

Bloque 5 — Diagnóstico y resolución de errores estándar

El curso cierra con un bloque orientado a la operativa real. A partir de respuestas HTTP de error proporcionadas, el participante identifica los códigos de error estándar del protocolo —invalid_client, invalid_grant, access_denied, invalid_scope— y los asocia a su causa probable dentro del flujo, desarrollando la capacidad de diagnosticar y corregir problemas habituales en integraciones OAuth 2.0.

• Navegador web moderno (Chrome, Firefox o Edge en versión reciente).
• Postman (versión desktop) o acceso a curl desde terminal.
• Cuenta de GitHub activa para el ejercicio con GitHub OAuth App, o acceso al entorno Keycloak de laboratorio facilitado por el instructor.
• Conexión a internet estable para interactuar con los proveedores OAuth preconfigurados durante las prácticas guiadas.

• Comprensión básica del modelo cliente-servidor y del protocolo HTTP (métodos, cabeceras, códigos de respuesta).
• Familiaridad con el concepto de API REST y con herramientas de petición HTTP como Postman o curl.
• Nociones elementales de seguridad web: qué es una sesión, qué es un token y para qué sirven las credenciales de acceso.