Usted está aquí:
Gestionar políticas de acceso de OAuth para una aplicación conectada: Política de caducidad de token de actualización
Esta política garantiza que un token de actualización sea estrictamente de "uso puntual", lo que significa que se invalida instantáneamente en el momento en que se utiliza para solicitar un nuevo token de acceso.
Nombre de control
Gestionar políticas de acceso de OAuth para una aplicación conectada: Política de caducidad de token de actualización
Configuración recomendada
Política de token de actualización: Hacer caducar inmediatamente el token de actualización.
Descripción general de control
Esta política garantiza que un token de actualización sea estrictamente de "uso puntual", lo que significa que se invalida instantáneamente en el momento en que se utiliza para solicitar un nuevo token de acceso.
Riesgo de seguridad si no está configurado
Sin caducidad inmediata, un token de actualización permanece válido para múltiples usos hasta que alcanza su fecha límite basada en tiempo, dejando una ventana de oportunidad para que un atacante reutilice un token robado incluso después de que el usuario legítimo ya actualizó su sesión.
Escenarios de amenazas
Un atacante intercepta un token de actualización válido desde un archivo de registros de red o almacenamiento local y lo utiliza para generar múltiples tokens de acceso desde un dispositivo diferente antes de que el token original haya caducado de forma natural.
Intervalo de puntuación de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
Al no caducar los tokens de inmediato se permite el "secuestro de sesiones simultáneo", donde tanto el usuario legítimo como el atacante pueden mantener un acceso activo e independiente a la misma cuenta de forma simultánea.
Riesgo más alto cuando
Para clientes públicos (aplicaciones móviles o de navegador) que no utilizan PKCE, ya que no se requiere ninguna prueba criptográfica secundaria para "reutilizar" el token de actualización aún válido.
Bajo riesgo cuando
Rotación de token de actualización ya está activada, ya que la rotación aplica técnicamente el vencimiento inmediato del token antiguo como parte de su lógica de "intercambio" estándar.
Consideraciones comerciales y de integración
La implementación de la caducidad inmediata requiere que la aplicación cliente tenga una gestión de errores sólida y un guardado de datos síncrono y fiable para asegurarse de que no pierde el token recién emitido durante el intercambio, lo que daría como resultado un bloqueo de usuario inmediato.
Remediación recomendada
Vaya a las Políticas de OAuth de la aplicación conectada y establezca la Política de token de actualización como "Vencer inmediatamente el token de actualización".
Directrices de revisión del estado de seguridad
Security Health Review identifica la caducidad inmediata como un control "Anti-Replay" crítico de modo que cualquier token comprometido tenga la utilidad más corta posible para un adversario.
