Define almacenamiento, endpoints, eventos, manejo de errores, monitoreo y procedimientos de soporte para OpenID Connect. Esta referencia fija el límite de adopción, el comportamiento ante fallos y la evidencia observable, dejando configurables los límites específicos del entorno.
Estado del paquete: contexto de referencia listo para revisión humana. El contrato y los escenarios de prueba están completos, pero no se afirma que una implementación adoptante los haya superado.
Decisión
Para OpenID Connect, adoptar un ciclo de vida de credenciales y sesión del lado del servidor con garantía explícita. Exponer un contrato de recurso o evento con identidad estable, autorización, validación, idempotencia, compatibilidad y errores explícitos. Este paquete es un contrato de referencia: el equipo adoptante debe elegir límites numéricos, proveedores, jurisdicciones y responsables operativos basándose en la evidencia de su propio entorno.
Alcance
- Los actores, entradas, salidas, estados, versiones de políticas o esquemas y resultados visibles externamente descritos por este bloque de API.
- Interfaces primarias y alternativas, trabajo en segundo plano, cachés, integraciones, rutas de soporte y evidencia que puedan ejercer el mismo límite.
- Configuración específica de adopción, despliegue, recuperación y responsabilidades de verificación necesarias para aplicar la referencia de forma segura.
Fuera de este bloque
- Elegir un proveedor universal, framework, jurisdicción, umbral numérico, periodo de retención u objetivo de nivel de servicio para todos los adoptantes.
- Afirmar que los escenarios empaquetados se han ejecutado contra una implementación descendente o que esta referencia otorga certificación legal, de seguridad o accesibilidad.
Contrato
- Almacenar solo material de credenciales protegido, rotar secretos de firma y recuperación, y mantener las credenciales fuera de URLs, logs, analíticas y vistas de soporte.
- Vincular emisión, uso, expiración, revocación, recuperación y manejo de repetición a un sujeto nombrado y acción prevista.
- Devolver respuestas públicas resistentes a enumeración mientras se retiene suficiente razón interna y datos de correlación para soporte y respuesta a abusos.
- Reevaluar acciones sensibles tras cambios en sujeto, dispositivo, autenticador, riesgo o estado de sesión en lugar de confiar en un inicio de sesión obsoleto para siempre.
- Documentar semántica de métodos o eventos, campos requeridos, comportamiento condicional, límites y un vocabulario de errores legible por máquina.
- Rechazar campos desconocidos sensibles a seguridad y preservar compatibilidad futura para datos explícitamente extensibles.
- Validar emisor, audiencia, firma, expiración, nonce y vinculación de respuesta de autorización; mapear sujeto externo con emisor como identidad compuesta.
- El enlace de cuentas requiere una decisión local autenticada y no puede basarse solo en un correo electrónico coincidente no verificado.
Guía de implementación
- Publicar fixtures de contrato y pruebas de consumidor antes de enrutar tráfico de producción a una nueva versión.
- Modelar entradas, salidas, actores, estados, invariantes, efectos secundarios y evidencia de OpenID Connect antes de seleccionar detalles de framework o proveedor.
- Almacenar la versión aplicable del contrato o política de OpenID Connect con el estado material para que migraciones, repetición y decisiones de soporte sean atribuibles.
- Introducir la ruta detrás de un despliegue controlado, comparar resultados esperados y observados, y mantener una ruta de recuperación probada hasta completar la evidencia de adopción.
Manejo de fallos y salvaguardas
- La falta, expiración, repetición o evidencia contradictoria de autenticación niega la acción y sigue una ruta de recuperación con límite de tasa.
- El estado inválido o contradictorio de OpenID Connect se rechaza o pone en cuarentena; la implementación nunca adivina un valor que amplíe autoridad o duplique un efecto.
- Los reintentos están limitados y usan identidad durable; tras agotarlos, el trabajo alcanza un estado terminal inspeccionable con un responsable accountable.
Verificación y operaciones
- Probar reintentos, solicitudes duplicadas, actualizaciones condicionales, paginación o reanudación, credenciales inválidas, límites y tiempo de espera de dependencias.
- Monitorear éxito, denegación, fallo de validación, fallo de dependencia, agotamiento de reintentos y recuperación de OpenID Connect por versión de contrato sin dimensiones sensibles de carga útil.
- Reejecutar fixtures positivos y negativos emparejados tras cambios en política, esquema, dependencia, migración o límite y preservar la evidencia resultante.
Suposiciones de adopción
- Los nombres y valores en el ejemplo son un fixture concreto, no valores predeterminados universales; los adoptantes los reemplazan mediante evidencia documentada y propiedad.
- El sistema adoptante puede proporcionar identidad autenticada, versiones durables de operación o registro, telemetría acotada y una ruta controlada para cambios.
Los ejemplos con apariencia ejecutable en este paquete son fixtures y contratos de aceptación. Ejecute el validador de colección para verificar estructura y metadatos, luego traduzca y ejecute los escenarios en el repositorio destino antes de registrar evidencia de implementación.
Referencias
- NIST SP 800-63B-4, Authentication and Authenticator Management (aplica desde 2026-09-08)
- OpenID Connect Core 1.0