Autorisasjonskode

Autorisasjonskode er en midlertidig kode som bekrefter at en person eller en applikasjon har tillatelse til å utføre en handling eller få tilgang til en ressurs. Koden utstedes av en autorisasjonstjeneste og er normalt gyldig i et begrenset tidsrom og for et begrenset formål. Autorisasjonskoder brukes i ulike sikkerhets- og autentiseringskontekster, blant annet ved innlogging, betalingsautorisasjon og tilgang til beskyttede ressurser.

Vanlige typer autorisasjonskoder inkluderer engangs- eller midlertidige koder (OTP), som sendes per SMS eller genereres i autentiseringsapper, og OAuth 2.0-autorisasjonskoder, som brukes i standarden for å gi en klient midlertidig tilgang til brukerressurser.

Ved OAuth 2.0-scenarier fungerer prosessen slik: en bruker godkjenner en applikasjon, autorisasjonstjenesten utsteder en kortvarig kode til klienten, og klienten bruker denne koden til å hente tilgangstoken fra token-endepunktet. Tilgangstoken gir deretter klienten tilgang til beskyttede ressurser; ofte er koden utvekslet og dermed forhindret i å avsløre brukerlegitimasjon.

Sikkerhetshensyn inkluderer at koder bør være tidsbegrensede, ensbruk, og overføringen bør skje over sikre forbindelser (TLS). For offentlige klienter anbefales mekanismer som PKCE for å redusere risiko ved kodeutveksling.

Relaterte begreper er engangs-passord (OTP), tilgangstoken, autentisering, og autorisasjonsrammeverk som OAuth 2.0 og OpenID Connect. Begrepet brukes bredt i IT for å kontrollere og minimere uautorisert tilgang.