OAuth 2.0: autoryzacja dostępu do API

OAuth 2.0 to protokół autoryzacji, a nie sposób logowania sam w sobie. Pozwala właścicielowi konta przyznać aplikacji ograniczony dostęp do konkretnej usługi. Zamiast wpisywać hasło do Gmaila w narzędziu automatyzacji, logujesz się u Google, widzisz ekran zgody i zezwalasz aplikacji na określony zakres działań. Aplikacja otrzymuje token dostępu, nie Twoje hasło.

W praktyce dla eksperta budującego system AI OAuth jest mostem między narzędziami. Dzięki niemu workflow może pobrać wydarzenie z kalendarza, zapisać lead do CRM albo przygotować draft odpowiedzi na podstawie danych z poczty. Dostęp powinien być możliwie wąski: inny zakres jest potrzebny do odczytu kalendarza, a inny do wysyłania wiadomości lub kasowania plików.

Najczęstszy scenariusz to authorization code flow. Użytkownik przechodzi do dostawcy, potwierdza zgodę, a dostawca odsyła aplikację z krótkotrwałym kodem. Aplikacja wymienia go na access token. Gdy integracja ma działać dłużej, może dostać też refresh token, który służy do odnowienia dostępu bez kolejnego klikania zgody. To nie znaczy, że token można trzymać w dowolnym miejscu.

Praktyczny przykład: tworzysz automatyzację, która po rezerwacji konsultacji tworzy notatkę i przypomina o spotkaniu. Łączysz konto Google z n8n przez OAuth, wybierasz tylko wymagane uprawnienia do Kalendarza, a workflow używa zapisanej credential do utworzenia wydarzenia. Gdy zmienisz narzędzie lub zakończysz współpracę, odwołujesz dostęp po stronie konta Google i usuwasz credential z automatyzacji.

Największy błąd to traktowanie OAuth jak bezpiecznej naklejki na każdą integrację. Token z szerokim zakresem nadal daje szeroki dostęp. Nie publikuj go w promptach, arkuszach, repozytorium ani w zrzutach ekranu. Nie podawaj go agentowi tylko dlatego, że agent „potrzebuje dostępu”. Najpierw nazwij akcje, które ma wykonać, ogranicz scope i wybierz konto techniczne tam, gdzie to ma sens.

OAuth nie zastępuje także kontroli logiki workflow. Poprawne połączenie z API nie gwarantuje, że agent nie wyśle złej wiadomości albo nie zapisze błędnych danych. Łącz OAuth z barierami ochronnymi, zatwierdzeniem człowieka dla działań zewnętrznych oraz bezpiecznym odbiorem webhooków. Powiązane pojęcia w Encyklopedii to webhook i prompt injection: pierwsze wyjaśnia wejście zdarzenia do automatyzacji, drugie ryzyko niebezpiecznych instrukcji w danych.