Autenticazione senza disastri: sessioni, token e login esterna spiegati in modo pratico

Quando qualcuno dice "aggiungiamo login con Google", di solito sta sottovalutando il problema. Non per cattiva fede, ma perché l'autenticazione introduce almeno cinque aspetti diversi che vanno gestiti insieme:

Non esiste un'unica soluzione corretta. La scelta dipende dal tipo di prodotto che stai costruendo.

Scenario A: applicazione web classica, dove il browser comunica con il tuo server.

La soluzione più semplice e solida è quasi sempre una sessione gestita dal server con un cookie sicuro. È il pattern nativo della maggior parte dei framework web e funziona bene per la stragrande maggioranza dei casi.

Scenario B: API per app mobile o client esterni.

Qui è comune usare token di autenticazione. Sono stringhe firmate che contengono informazioni sull'utente e permettono al server di verificare l'identità senza mantenere una sessione. Il problema è che se li implementi male diventano una delle vulnerabilità più frequenti. Un token gestito senza criterio può portare alla compromissione completa dell'applicazione.

Scenario C: login con Google, Facebook o altri provider.

In questo caso stai delegando l'autenticazione a un servizio esterno e devi gestire correttamente il flusso di redirect, i segreti, i callback e le validazioni. È più complesso di quanto sembri.

Prima di scrivere codice, chiarisci quattro concetti:

Chi sei? È la domanda dell'autenticazione. Verificare l'identità dell'utente.

Cosa puoi fare? È la domanda dei permessi. Non basta sapere chi è l'utente, serve sapere a cosa ha accesso.

Come ti riconosco a ogni richiesta? È il tema della sessione o del token. Dopo il primo login, come fai a non chiedere la password a ogni click?

Dove tengo le chiavi? Credenziali, segreti, chiavi di firma: dove stanno e chi può accedervi.

Errore 1: trattare i token come semplici stringhe.

Un token di autenticazione ha una struttura precisa: contiene dati, ha una firma e usa un algoritmo specifico. La sicurezza non è garantita per il semplice fatto di usare un token. Serve verificare la firma, controllare la scadenza e validare il contenuto a ogni richiesta.

Errore 2: mettere informazioni sensibili dentro il token.

I token viaggiano tra client e server. Se ci metti dentro dati sensibili, chiunque li intercetti può leggerli. Il contenuto di un token deve essere il minimo indispensabile.

Errore 3: sessioni non protette.

Usare HTTPS protegge la comunicazione, ma non risolve tutti i problemi. Serve anche ruotare l'identificativo della sessione dopo il login, impostare le protezioni corrette sui cookie e gestire la scadenza in modo coerente.

Errore 4: confondere autenticazione e permessi.

"Se sei loggato allora puoi fare tutto" è la strada più veloce verso problemi di sicurezza. Essere autenticati e avere i permessi per un'azione sono due cose diverse e vanno gestite separatamente.

Errore 5: fidarsi dei dati che arrivano dall'utente.

La regola più importante in sicurezza è anche la più ignorata: non fidarti mai di nessun dato controllato dall'utente. Valida e pulisci ogni input. Questo vale anche quando il codice lo ha scritto l'AI.