Estás en un nuevo sitio web. El formulario de inscripción es largo. Presionas un botón que dice “Iniciar sesión con Google”. Funciona. Estás dentro.
Esto es inicio de sesión único (SSO).
Es la experiencia predeterminada para la web moderna. La mayoría de las plataformas lo ofrecen. Facebook, Google, Apple, LinkedIn e incluso Twitter. Todos te permiten omitir el paso de creación de contraseña. ¿Pero deberías hacerlo?
La respuesta no es sencilla. Depende de lo que valores más: la velocidad o el control.
Cómo funciona realmente el inicio de sesión único
Cuando haces clic en ese botón, no solo estás iniciando sesión. Estás autorizando una transferencia de datos.
El nuevo sitio solicita permiso a su proveedor de redes sociales para compartir detalles específicos. Por lo general, esto incluye su nombre y dirección de correo electrónico. A veces, toma tu foto de perfil.
En algunos casos, extrae datos más profundos. Fechas de nacimiento. Números de teléfono. Historial de ubicación.
¿Quién decide qué se comparte? Todo se reduce a dos políticas. La política de la aplicación a la que te estás uniendo. Y la política de tu cuenta social principal.
“Las aplicaciones y sitios web más pequeños probablemente tengan menos seguridad que las grandes redes sociales, por lo que renunciar a entregar una contraseña y una dirección de correo electrónico a favor de un inicio de sesión social podría ser una opción más segura”. — Paul Bischoff, especialista en privacidad de Comparitech
Antes de hacer clic, busque un cuadro de texto. Debe enumerar exactamente qué datos están expuestos. Si no lo ve, asuma lo peor.
Por qué debería utilizar el inicio de sesión social
El tiempo es el principal atractivo de venta.
Imagínese completar diez formularios diferentes. Nombre. Correo electrónico. Teléfono. DIRECCIÓN. Cumpleaños. Es tedioso. SSO se salta esto. Extrae su información existente y la descarga en la nueva cuenta.
También simplifica la memoria. Tienes cientos de cuentas. ¿Cuántas contraseñas recuerdas realmente? SSO actúa como una clave maestra. Inicias sesión en Google una vez. Puede acceder a docenas de servicios vinculados sin tener que volver a ingresar las credenciales.
La seguridad es otro factor. Los sitios web más pequeños suelen tener una seguridad deficiente. Las grandes empresas de tecnología tienen enormes equipos de seguridad. Si una aplicación pequeña le solicita su contraseña, le está confiando un secreto. Si usan SSO, solo les estás confiando una clave API. Nunca ven su contraseña social real.
También hay beneficios funcionales. Dropbox puede llevar tus fotos de Facebook directamente al almacenamiento en la nube. Zoom se sincroniza con tu Google Calendar. Slack importa tus contactos.
Puedes hacer algunas de estas cosas sin SSO. Pero SSO los hace instantáneos.
Los costos ocultos de la conveniencia
La comodidad tiene un precio. Pierdes el control.
Cuando creas una cuenta manualmente, decides qué compartir. Con SSO, la aplicación puede tomar lo que quiera. Puede aceptar compartir su edad e intereses solo para ingresar a la aplicación.
Esos datos no son sólo para la aplicación.
“El uso de un inicio de sesión social crea una red de sitios que tienen un identificador compartido sobre usted. Ese identificador se puede utilizar para crear un perfil publicitario compartido basado en su actividad en cada uno de los sitios”. — Dan Fritcher, CTO de Sysfi Cloud Services
Este perfil crece con el tiempo. Realiza un seguimiento de sus movimientos en la web. ¿Quién sabe para qué se utilizará dentro de cinco años?
También existe una cuestión de confianza. Las grandes marcas tienen políticas de privacidad. Es posible que los sitios aleatorios no. Un sitio sin reputación podría tomar su información de contacto y venderla a estafadores. Sucede.
SSO amplifica el riesgo si su cuenta principal se ve comprometida.
Si un hacker suplanta su contraseña de Google, no solo recibe su correo electrónico. Obtienen todos los servicios vinculados a ese inicio de sesión. Una infracción. Muchas pérdidas.
Las interrupciones del servicio son otro dolor de cabeza. Si Facebook deja de funcionar, todas las aplicaciones que utilizan el inicio de sesión de Facebook fallan. Usted no puede acceder a sus propias cuentas debido a un error del servidor corporativo.
Cómo manejan las principales plataformas los datos de terceros
No todos los proveedores de SSO son iguales.
Google
Google ofrece controles granulares. Puede revisar qué aplicaciones tienen acceso a su cuenta en la configuración de su cuenta de Google. Puedes revocar el acceso al instante. Generalmente limitan los datos compartidos a lo que la aplicación solicita explícitamente.
Facebook (Meta)
Facebook ha endurecido sus políticas tras escándalos como el de Cambridge Analytica. Las aplicaciones deben pasar por un riguroso proceso de revisión para acceder a los datos del usuario. Puede ver exactamente qué permisos ha solicitado una aplicación. Meta te permite ver y eliminar aplicaciones conectadas.
manzana
“Iniciar sesión con Apple” de Apple está diseñado para brindar privacidad. Le permite ocultar su dirección de correo electrónico real mediante el uso de un correo electrónico aleatorio de solo reenvío. También te da la opción de “Ocultar mi correo electrónico”. Apple exige que las aplicaciones revelen por qué necesitan datos y ofrece a los usuarios formas sencillas de revocar el acceso.
Twitter (X)
La integración de Twitter es menos transparente. Si bien proporciona SSO, la profundidad del intercambio de datos y las capacidades de seguimiento de terceros pueden ser menos claras que las de Apple o Google. Los usuarios deben revisar cuidadosamente las pantallas de permisos.
El veredicto
El inicio de sesión único es una herramienta. No es inherentemente bueno o malo.
Es rápido. Es conveniente. Puede ser más seguro que usar una contraseña débil en un sitio dudoso.
Pero crea una red de intercambio de datos. Proporciona a las aplicaciones más información de la que podría pretender proporcionar. Vincula su identidad digital a algunas corporaciones gigantes.
Si te importa la velocidad, úsala.
Si te importa la privacidad, ten cuidado.
Comprueba los permisos. Lea la política de privacidad. Revoca el acceso cuando ya no necesites la aplicación. Vale la pena proteger tus datos.
Cuando haces clic en “Iniciar sesión con Facebook”, no estás simplemente entregando una clave. Estás abriendo una puerta a toda tu huella digital. Las empresas que ofrecen inicio de sesión único (SSO) tienen filosofías muy diferentes sobre qué datos son “necesarios” para compartir con aplicaciones de terceros. Algunos tratan su privacidad como una bóveda. Otros lo tratan como un tablón de anuncios público.
Así es como los grandes actores manejan realmente su información cuando los utiliza como proveedores de identidad.
Política de intercambio de datos de Facebook
La postura predeterminada de Facebook es agresiva. Durante el inicio de un SSO, la plataforma proporciona al tercero su nombre, dirección de correo electrónico y foto de perfil. Pero eso es sólo la punta del iceberg.
La exposición real proviene de la clasificación de “perfil público” de Facebook. Este término general cubre todo lo que hay en su perfil que no está bloqueado explícitamente. Si es visible para amigos, probablemente lo sea para la aplicación. Estamos hablando de edad, sexo, fecha de nacimiento y estado civil. Se extiende a detalles familiares, pasatiempos e incluso a los dispositivos que utilizas.
Peor aún, Facebook puede ofrecer información sobre su ciudad natal, su historial laboral, sus antecedentes educativos, su religión y sus inclinaciones políticas. La empresa recopila una gran cantidad de datos y está notoriamente dispuesta a compartirlos con sus socios, un hecho puesto de relieve por los recientes escándalos y demandas.
Sin embargo, no eres del todo impotente. La configuración de privacidad de Facebook te permite marcar ciertos detalles como no públicos. Si selecciona cuidadosamente lo que es público versus lo privado, puede limitar el sangrado. Pero la mayoría de los usuarios no lo hacen.
Política de Google
Google adopta un enfoque más segmentado. Como mínimo, el gigante tecnológico comparte su nombre, dirección de correo electrónico y foto de perfil. Ese es el costo base de entrada.
Pero las aplicaciones de Google y las integraciones de terceros a menudo intentan captar más. Es posible que intenten recuperar archivos, fotos, mensajes o eventos de calendario almacenados en su Google Drive. ¿El truco? No pueden hacer esto de forma predeterminada. Estos servicios deben solicitar permisos específicamente para acceder a esas capas más profundas de su vida. Si rechaza esas solicitudes, no obtendrán nada. Es un límite más claro que el modelo de perfil público de todo o nada de Facebook.
Política de Twitter
El proceso SSO de Twitter es sencillo por diseño. Las aplicaciones registradas a través de Twitter tienen acceso de solo lectura a puntos de datos específicos: su nombre de pantalla, foto de perfil, biografía, ubicación general, idioma preferido y zona horaria.
La aplicación también puede ver el análisis de tus tweets, así como tus listas de seguidores, silencio y bloqueo. En particular, Twitter no comparte su dirección de correo electrónico durante el inicio de sesión a menos que la aplicación lo solicite explícitamente y usted le dé permiso.
Esto hace que Twitter sea una opción sorprendentemente respetuosa con la privacidad para algunos. Si su gráfico social es mayoritariamente público de todos modos, hay datos “privados” menos sensibles que una aplicación puede robar.
Política de Apple
El proceso SSO de Apple destaca por su diseño centrado en el usuario. Es único entre los principales proveedores. Cuando se inicia el registro, Apple comparte su nombre y correo electrónico. Pero los usuarios tienen el control.
Puede editar su nombre antes de enviarlo. Puede optar por ocultar su correo electrónico por completo. Luego, Apple generará una dirección ficticia que reenviará automáticamente los correos electrónicos a su cuenta real. Puede desactivar este reenvío más adelante si desea cortar vínculos y evitar el spam.
La autenticación de dos factores es obligatoria. Apple también afirma que no recopila ningún dato sobre su interacción con la aplicación. Esto crea un amortiguador entre su identidad y la del tercero.
Apple parece ser uno de los mejores servicios para usar cuando se trata de SSO porque brinda a los usuarios el mayor control sobre qué datos se comparten.
Qué hacer con el SSO
Si planea utilizar el inicio de sesión único, debe tener en cuenta qué información se transfiere. Tienes la opción de elegir empresas. Elija el servicio que comparta la menor cantidad de datos.
Basado en el intercambio de datos y el control del usuario, Apple es posiblemente la apuesta más segura. No necesita un dispositivo Apple para crear una ID de Apple. Esto lo hace accesible para los usuarios de Android y Windows que desean mejores controles de privacidad.
Alternativamente, algunos expertos prefieren Twitter. Bischoff, por ejemplo, señala que debido a que casi todo en su cuenta de Twitter es público, no hay muchos más datos que una aplicación pueda obtener de él al iniciar sesión en Twitter. Es una estrategia de “nada que ocultar”. Pero no todas las aplicaciones ofrecen todas las opciones de inicio de sesión. A menudo estás limitado a lo que ha integrado el desarrollador.
Alternativas seguras al SSO
Existe una mejor manera de gestionar el acceso sin renunciar a su identidad. Utilice un administrador de contraseñas dedicado como 1Password.
Este programa almacena todos sus datos de inicio de sesión en una carpeta cifrada. La única forma de acceder es con una “contraseña maestra” establecida por usted. Esta clave maestra se almacena localmente y fuera de línea. Es prácticamente imposible que los piratas informáticos obtengan estos datos sin acceso físico a su computadora.
Muchos navegadores web también ofrecen administradores de contraseñas integrados. Utilizan sus propios métodos de cifrado, que son mejores que el texto sin formato pero menos sólidos que una herramienta dedicada de terceros.
Conceptos básicos de seguridad
Refuerce la seguridad de sus redes sociales. Habilite la autenticación de dos factores (2FA). Esto genera un código de acceso temporal enviado a su correo electrónico o número de teléfono personal.
Es uno de los métodos más rápidos y eficaces para evitar el acceso online no deseado. También protege sus cuentas de inicio de sesión único. Si alguien roba su contraseña, aún no podrá ingresar sin ese segundo factor.
La práctica más segura sigue siendo crear contraseñas únicas para cada servicio que utilice. Es tedioso. Es molesto. Pero funciona. Utilice un administrador de contraseñas cifrado para realizar un seguimiento de todas ellas. Deja de intentar recordar cosas. Empieza a gestionarlos.
