Usted está aquí:
Gestionar políticas de acceso de OAuth para una aplicación conectada: Política de caducidad de token de actualización
Esta política garantiza que un token de actualización sea estrictamente de "uso puntual", lo que significa que se invalida al instante en el momento en que se utiliza para solicitar un nuevo token de acceso.
Nombre de control
Gestionar políticas de acceso de OAuth para una aplicación conectada: Política de caducidad de token de actualización
Configuración recomendada
Política de token de actualización: el token de actualización caduca inmediatamente.
Descripción general de control
Esta política garantiza que un token de actualización sea estrictamente de "uso puntual", lo que significa que se invalida al instante en el momento en que se utiliza para solicitar un nuevo token de acceso.
Riesgo de seguridad si no está configurado
Sin caducidad inmediata, un token de actualización sigue siendo válido para múltiples usos hasta que alcanza su fecha límite basada en tiempo, dejando una ventana de oportunidad para que un atacante reutilice un token robado incluso después de que el usuario legítimo ya actualizó su sesión.
Escenarios de amenazas
Un atacante intercepta un token de actualización válido desde un archivo de registros de red o almacenamiento local y lo utiliza para generar múltiples tokens de acceso desde un dispositivo diferente antes de que el token original caduque de forma natural.
Intervalo de puntuaje de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones de impacto de riesgo
Al no caducar los tokens de inmediato se permite el "secuestro de sesiones simultáneo", donde tanto el usuario legítimo como el atacante pueden mantener un acceso activo e independiente a la misma cuenta de forma simultánea.
Mayor riesgo cuando
Para clientes públicos (aplicaciones móviles o de navegador) que no utilizan PKCE, ya que no se requiere ninguna prueba criptográfica secundaria para "reutilizar" el token de actualización aún válido.
Bajo riesgo cuando
Actualizar rotación de token ya está activada, ya que la rotación aplica técnicamente la caducidad inmediata del token antiguo como parte de su lógica de "intercambio" estándar.
Consideraciones de negocio e integración
La implementación de la caducidad inmediata requiere que la aplicación cliente tenga un control de errores sólido y un guardado de datos síncrono fiable para asegurarse de que no pierde el token recién emitido durante el intercambio, lo que daría como resultado un bloqueo de usuario inmediato.
Remediación recomendada
Vaya a las Políticas de OAuth de la aplicación conectada y establezca la Política de token de actualización en "Token de actualización de caducidad inmediata".
Directrices de revisión del estado de seguridad
Security Health Review identifica la caducidad inmediata como un control "Anti-Replay" crítico de modo que cualquier token comprometido tenga la utilidad más corta posible para un adversario.
