Definitie
OAuth (uitgesproken als “oh-auth”) is een open standaardprotocol waarmee een applicatie toegang krijgt tot data of functies in een andere applicatie, zonder dat de gebruiker zijn wachtwoord hoeft te delen. In plaats daarvan geeft de gebruiker expliciet toestemming voor specifieke toegang via een gestandaardiseerde flow.
OAuth wordt veel gebruikt voor “inloggen met Google”, “inloggen met Microsoft” of “verbind met LinkedIn”-knoppen. Het is ook de basis van veel API-koppelingen tussen zakelijke applicaties. De huidige versie is OAuth 2.0. Vaak gecombineerd met OpenID Connect voor identiteitsinformatie.
Waarom het ertoe doet voor MKB
Voor MKB zit OAuth onder de motorkap van bijna elke moderne koppeling. Bij elke “verbind dit met dat” knop in een SaaS-tool wordt OAuth gebruikt. Begrijpen hoe het werkt helpt bij het inschatten van risico’s: wat geef je een externe app eigenlijk toestemming voor?
Voor jouw bedrijf is de praktische les: OAuth-koppelingen zijn doorgaans veiliger dan wachtwoorden delen, maar lees wel wat een applicatie aan rechten vraagt. Een marketing-tool die “alle e-mail kan lezen en verzenden” vraagt is iets anders dan een tool die alleen jouw kalender mag bekijken.
Concreet voorbeeld
Een marketingbureau met 12 medewerkers wilde een nieuwe planningstool koppelen aan de centrale agenda. In het oude systeem zou de medewerker zijn Microsoft-wachtwoord aan de tool moeten geven, wat onveilig en in strijd met bedrijfsbeleid was.
Met OAuth-koppeling klikte de medewerker op “verbind met Microsoft”, werd doorgestuurd naar een Microsoft-loginpagina (niet de planningstool), gaf daar toestemming voor specifieke rechten (lezen en schrijven van kalenderafspraken), waarna de planningstool een token kreeg met alleen die rechten. Het wachtwoord werd nooit gedeeld. Bij behoefte kon de toegang centraal worden ingetrokken zonder het Microsoft-wachtwoord te wijzigen.
Misverstanden en valkuilen
- “OAuth is hetzelfde als inloggen.” Net niet. OAuth gaat over autorisatie (wat mag je doen). Voor authenticatie (wie ben je) wordt vaak OAuth gecombineerd met OpenID Connect.
- “Met OAuth ben je veilig.” Veiliger dan wachtwoorden delen, maar niet zomaar 100% veilig. Phishing-aanvallen kunnen OAuth-flows misbruiken. Let altijd op de URL waar je toestemming geeft.
- “Eens gegeven toestemming, voor altijd.” Onjuist. Toestemmingen kun je intrekken via je account-instellingen bij Google, Microsoft of waar dan ook. Regelmatig opschonen is verstandig.
- “OAuth-rechten zijn duidelijk.” Soms vragen apps brede rechten die niet helemaal duidelijk zijn. “Toegang tot alle Drive-bestanden” klinkt al snel onschuldig, maar betekent dat een app alles kan lezen en wijzigen.
Wanneer moet je hier wakker liggen, wanneer niet
Wakker liggen: als medewerkers ad hoc OAuth-toestemmingen geven aan onbekende of obscure apps. Of als bij vertrek van een medewerker oude OAuth-toestemmingen niet worden ingetrokken. Beide kunnen leiden tot ongewenste toegang.
Niet wakker liggen: als koppelingen via OAuth lopen tussen reputabele bedrijfsapplicaties en je rechten regelmatig nakijkt. Dat is de moderne, veilige manier van apps koppelen.