¿Qué significan autenticación y autorización?
La autenticación comprueba quién es una persona, por ejemplo con contraseña, un procedimiento en dos factores o una passkey. La autorización determina qué puede hacer la persona identificada, como qué datos puede ver o modificar. Ambos pasos se suceden y son la base de todo control de acceso.
Autenticación y autorización: la diferencia
Los dos términos se confunden a menudo, pero responden a preguntas distintas. La autenticación aclara: ¿quién es? La autorización aclara: ¿qué puede hacer esa persona? En el aeropuerto, el control del documento de identidad equivale a la autenticación, y la tarjeta de embarque con vuelo y asiento, a la autorización. Solo ambas juntas le permiten embarcar.
En el software rige el mismo orden. Primero el usuario se identifica y después la aplicación comprueba, en cada acción, si su rol la permite. Un inicio de sesión correcto no significa por sí solo acceso a todo; y a la inversa, de nada sirve la mejor gestión de permisos si la identidad no se comprueba de forma fiable.
Cómo funciona
La autenticación se basa en algo que se sabe (contraseña), se tiene (smartphone, llave de seguridad) o se es (huella dactilar, reconocimiento facial). Cuando se combinan al menos dos de estos factores se habla de autenticación en dos factores o multifactor. Las passkeys, basadas en FIDO2 y WebAuthn, sustituyen las contraseñas por claves criptográficas y protegen mejor frente al phishing.
La autorización sigue reglas. En el modelo basado en roles (RBAC), cada usuario recibe un rol como «contabilidad» o «servicio externo» con derechos fijos. Los modelos más flexibles tienen en cuenta atributos como el departamento o la ubicación. El principio rector es el mínimo privilegio: cada persona obtiene solo los permisos que necesita para su tarea.
Ejemplo práctico: el portal de clientes de un proveedor
Un proveedor crea un portal en el que los clientes consultan facturas y albaranes. El inicio de sesión con correo electrónico, contraseña y un código de un solo uso es la autenticación. Después, cada cliente solo puede ver los documentos de su propia empresa, mientras que el personal de ventas puede ver los de todos los clientes: esa es la autorización.
Un punto débil típico: se accede a la factura mediante una dirección como /factura/4711 y la aplicación solo comprueba si el usuario ha iniciado sesión, no si la factura le pertenece. Cambiando el número vería documentos ajenos. Por eso la comprobación debe realizarse en el servidor en cada acceso.
Errores habituales y límites
El control de acceso defectuoso (broken access control) ocupó el primer puesto entre los riesgos de las aplicaciones web en la edición de 2021 del OWASP Top 10. Normalmente el fallo no está en el inicio de sesión, sino en comprobaciones de permisos incompletas que, al añadir nuevas funciones, simplemente se olvidan. Errores frecuentes:
- Ocultar derechos solo en la interfaz y no comprobarlos en el servidor
- Cuentas compartidas, de modo que las acciones no se pueden atribuir a nadie
- Demasiados administradores y permisos que nunca se retiran
- Contraseñas débiles sin segundo factor en accesos sensibles
- Falta de registro de inicios de sesión y cambios de permisos
Qué debe tener en cuenta su empresa
Defina roles y derechos ya en la fase de diseño, conceda solo lo necesario y revise los accesos con regularidad. Los accesos sensibles deben protegerse con autenticación en dos factores. Nano Concepts planifica y programa el inicio de sesión, el modelo de roles y la comprobación de permisos para portales, apps y aplicaciones web, y los prueba específicamente frente a vulnerabilidades típicas.
Preguntas frecuentes sobre Autenticación y autorización
Siempre primero la autenticación. Solo cuando se sabe quién es una persona puede la aplicación decidir qué puede hacer. La autorización se comprueba después en cada acción individual, no solo una vez al iniciar sesión.
Consiste en identificarse con dos tipos distintos de prueba, por ejemplo una contraseña más un código de una app o una llave de seguridad. Aunque se robe una contraseña, la cuenta sigue protegida. Especialmente las cuentas de administrador y los accesos al correo deberían protegerse así.
En el RBAC los permisos no se asignan a personas concretas, sino a roles, como «contabilidad» o «servicio externo». Quien tiene un rol recibe sus permisos. Así la administración resulta clara y trazable, sobre todo cuando los empleados cambian de puesto.
Una passkey es un método de inicio de sesión sin contraseña. En el dispositivo se guarda una clave criptográfica y la aprobación se da con huella dactilar, reconocimiento facial o PIN del dispositivo. Como no se teclea ningún secreto, protege bien frente al phishing y las contraseñas robadas.
Servicios que encajan
Seguridad web
Detectar y cerrar vulnerabilidades en sitios web, tiendas online, portales de clientes y aplicaciones web a medida.
Más información
Desarrollo de portales de clientes
Un área de autoservicio protegida en la que sus clientes consultan por sí mismos pedidos, facturas, documentos y tickets.
Más información
Aplicaciones web
Portales de clientes, dashboards y plataformas SaaS que funcionan en el navegador, sin instalación y en cualquier dispositivo.
Más informaciónTérminos relacionados
Relevante para estos sectores
Artículos relacionados de la revista
Seguridad web: OWASP Top 10 y checklist pragmática para equipos
La mayoría de las vulnerabilidades siguen patrones conocidos. Con el OWASP Top 10 como guía y una checklist priorizada, cierra las brechas típicas antes de que se conviertan en un problema.
Seguir leyendo
Sustituir Excel: cuándo compensa una aplicación web propia
Caos de versiones, archivos bloqueados, fórmulas rotas: cuándo Excel se queda corto, qué alternativas existen y cómo lograr el paso a una app web con base de datos sin detener la actividad.
Seguir leyendo
Tracking conforme al RGPD: consentimiento, flujos de datos y confianza
Tracking y protección de datos no se excluyen: qué servicios requieren consentimiento, cómo documentar los flujos de datos y cómo aplicar la técnica para que cumpla lo que promete su política de privacidad.
Seguir leyendo
