Resumen

  • Un caso nuevo de un borrador individual de IETF concede a un agente un máximo de 30 dólares por compra y 100 en todo el día para comida, viajes y artículos del hogar.
  • Un viaje ilustrativo de 38 dólares se detiene hasta que la persona apruebe la excepción. Para que el máximo diario funcione entre tres cajas distintas, todas necesitan reconocer la misma concesión y su consumo acumulado.

El desayuno autoriza; la tercera caja hace las preguntas

Dave da a su asistente permiso por un día: encargarse de recados sin consultarle cada vez, pero gastar como máximo 30 dólares por operación y 100 en total. El agente pide una cena de 24 dólares, intenta reservar un viaje de 38 y compra suministros por 18. El viaje supera el tope individual y espera la aprobación de Dave. A medianoche caduca la concesión. Es el ejemplo inventado que aparece por primera vez en la revisión 05 del estudio de casos de autorización. La compra que pondría a prueba el límite acumulado podría ocurrir en cualquiera de las tres empresas. ¿Quién lleva la suma?

El anuncio del 27 de octubre y el registro de IETF presentan el texto como Internet-Draft individual, sin respaldo institucional ni trámite RFC. La revisión 04 no tenía este caso de pequeñas órdenes cotidianas. Los autores llaman «consentimiento amortizado» a la idea de una autenticación fuerte al comienzo, seguida de autonomía limitada durante el día. Evita pedir permiso por cada plato de comida; obliga a hacer cuentas por encima de varias empresas.

La tienda de comida puede saber que su pedido cuesta 24 dólares. La empresa de viajes puede ver que 38 rebasa el máximo de 30 por compra. Pero ninguna conoce por naturaleza lo que el agente pagó en la otra. Cuando una tercera caja consulta el presupuesto de 100 dólares, la respuesta exige una identidad común de la concesión y un estado de gasto que las cajas puedan consultar antes de comprometer el cobro. También exige decidir cuándo una orden cuenta como gasto y qué ocurre al cancelarla. La cifra de la pantalla de consentimiento necesita un responsable de ese cálculo.

Una concesión, muchos rastros

El caso requiere límites estructurados: aplicaciones permitidas y clases de acción que separen leer opciones, preparar pedidos, enviarlos y gastar. El agente no puede ampliarse el permiso ni prolongarlo. Debe haber vencimiento obligatorio y una acción única para revocar la concesión completa, con toda autoridad derivada. Cada acto tiene que poder atribuirse criptográficamente a la concesión concreta que lo autorizó. Si varios tokens sobreviven en varios servicios sin esa relación, «revocar mi permiso de hoy» se convierte en un botón que solo apaga una parte de la maquinaria.

Los autores atribuyen funciones parciales a herramientas existentes de OAuth: el flujo de código de autorización puede dar el permiso inicial, Rich Authorization Requests expresa detalles, DPoP vincula un token a quien lo presenta y la revocación puede anular un token. Su diagnóstico identifica huecos entre esas piezas. No hay semántica interoperable para un máximo monetario acumulado, ni una operación estándar que termine una concesión y todos sus tokens, ni una ruta común que lleve los límites hasta servicios independientes en el instante de ejecutar la orden.

El borrador enumera necesidades; no entrega un contador multinacional listo para funcionar.

El viaje de 38 dólares importa porque pone a prueba otro límite antes de que se agoten los 100 diarios. La excepción de Dave debe identificar ese viaje, ese precio y esa concesión. Si se convierte en un permiso general para «usar viajes», la excepción habrá cambiado el negocio completo. El vencimiento a medianoche pide disciplina semejante: comida, viaje y hogar deben dejar de aceptar la misma autoridad del día al terminar la jornada, aunque cada servicio conserve su propio token.

El relato posterior del asistente puede ayudar a explicar sus compras, pero la prueba útil son los enlaces entre cada orden, el permiso del lunes, el importe aplicado y la excepción concedida. Ni Dave ni los comerciantes del ejemplo son un caso real de gasto observado. Lo importante es que tres cajas autónomas no heredan un libro mayor común por recibir un texto de autorización parecido.

Documentos originales