This is the Trace Id: bbf80c657f8563938e59f298ba5d1820
Lompati ke konten utama Microsoft Defender Microsoft Entra Microsoft Intune Microsoft Purview Microsoft Security Copilot Microsoft Sentinel Tampilkan semua produk Keamanan cyber yang didukung AI Keamanan cloud Tata kelola dan keamanan data Akses jaringan dan identitas Manajemen risiko dan privasi Keamanan untuk AI Bisnis kecil & menengah SecOps Terpadu Zero Trust Harga Layanan Mitra Mengapa memilih Microsoft Security Kesadaran keamanan cyber Kisah pelanggan Dasar-Dasar Keamanan Uji coba produk Pengakuan industri Microsoft Security Insider Microsoft Digital Defense Report Security Response Center Blog Microsoft Security Acara Microsoft Security Komunitas Teknologi Microsoft Dokumentasi Pustaka Isi Teknis Pelatihan & sertifikasi Program Kepatuhan untuk Microsoft Cloud Pusat Kepercayaan Microsoft Service Trust Portal Microsoft Secure Future Initiative Hub Solusi Bisnis Hubungi Bagian Penjualan Mulai percobaan gratis Microsoft Security Azure Dynamics 365 Microsoft 365 Microsoft Teams Windows 365 Microsoft AI Azure Space Realita campuran Microsoft HoloLens Microsoft Viva Komputasi kuantum Pendidikan Otomotif Layanan keuangan Pemerintah Layanan Kesehatan Produksi Eceran Cari mitra Jadilah mitra Jaringan Mitra Microsoft Marketplace Perusahaan perangkat lunak Blog Microsoft Advertising Pusat Pengembang Dokumentasi Acara Pemberian Lisensi Microsoft Learn Microsoft Research Lihat Peta Situs
Seorang perempuan bekerja menggunakan laptop.

Apa itu OAuth?

Pelajari apa itu OAuth dan bagaimana cara kerjanya dalam memberikan otorisasi akses antar-aplikasi maupun layanan tanpa membahayakan informasi sensitif.

Penjelasan OAuth

OAuth adalah standar teknologi yang memungkinkan Anda untuk memberikan otorisasi pada satu aplikasi atau layanan agar dapat masuk ke aplikasi atau layanan lain tanpa perlu mengungkapkan data pribadi, seperti kata sandi. Jika Anda pernah menerima pesan seperti, “Masuk dengan Facebook?” atau “Izinkan aplikasi ini mengakses akun Anda?” Anda telah melihat penerapan OAuth secara langsung.

OAuth adalah singkatan dari Open Authorization, bukan autentikasi, karena sering kali dianggap demikian. Autentikasi adalah proses yang memverifikasi identitas Anda. OAuth memang melibatkan identitas Anda, tetapi tujuannya adalah untuk memberikan izin guna terhubung dengan lancar ke berbagai aplikasi dan layanan tanpa mengharuskan Anda membuat akun baru. OAuth menyediakan kemudahan pengalaman dengan memberi Anda opsi untuk memberikan otorisasi ke dua aplikasi untuk berbagi beberapa data tanpa mengungkapkan kredensial Anda. Layanan ini menyeimbangkan kenyamanan dan keamanan.

OAuth dirancang untuk berfungsi dengan Protokol Transfer Hiperteks (HTTP). Layanan ini menggunakan token akses untuk membuktikan identitas Anda dan memungkinkannya berinteraksi dengan layanan lain atas nama Anda. Jika layanan kedua ini mengalami kebocoran data, kredensial Anda pada layanan pertama akan tetap aman. OAuth adalah protokol standar terbuka yang diadopsi secara luas dan digunakan oleh sebagian besar pengembang situs web dan aplikasi.

Lebih penting lagi, OAuth tidak memberikan akses tak terbatas ke data Anda kepada layanan atau aplikasi pihak ketiga. Salah satu bagian dari protokolnya adalah menentukan data apa yang diizinkan untuk diakses oleh pihak ketiga dan tindakan apa yang dapat dilakukan pihak ketiga dengan data tersebut. Penetapan batasan semacam ini, serta perlindungan identitas secara umum, menjadi sangat penting dalam skenario bisnis ketika banyak orang memiliki akses ke berbagai informasi sensitif dan hak milik.

Bagaimana cara kerja OAuth?

Penggunaan OAuth menjadi aman karena adanya token akses. Token akses adalah bagian dari data yang berisi informasi tentang pengguna dan sumber daya yang menjadi tujuan dari token. Token juga akan menyertakan aturan tertentu untuk berbagi data.

Misalnya, Anda mungkin ingin berbagi foto dari profil media sosial dengan aplikasi pengeditan foto, tetapi ingin aplikasi tersebut hanya memiliki akses ke beberapa foto Anda. Aplikasi tersebut juga tidak perlu mengakses pesan langsung atau daftar teman Anda. Token hanya mengotorisasi akses ke data yang Anda setujui. Mungkin juga ada aturan yang mengatur kapan aplikasi dapat menggunakan token—token mungkin hanya untuk penggunaan tunggal atau untuk penggunaan berulang—dan tanggal berakhirnya.

Proses OAuth sebagian besar merupakan interaksi komputer ke komputer dengan sedikit titik interaksi untuk pengguna. Dalam beberapa skenario, Anda mungkin tidak perlu memberikan persetujuan karena persetujuan ditangani di latar belakang secara diam-diam oleh perangkat lunak. Dua contoh penggunaan OAuth ini terjadi dalam skenario kerja perusahaan, ketika platform identitas menangani koneksi antar-sumber daya untuk mengurangi hambatan IT bagi banyak pengguna, maupun dalam interaksi antar-perangkat pintar.

Contoh teknologi OAuth

Seperti banyak teknologi yang menyederhanakan hal-hal yang membosankan—dalam kasus ini, pembuatan akun secara manual di berbagai aplikasi—OAuth telah diadopsi hampir secara universal oleh pembuat aplikasi. Layanan ini memiliki berbagai kasus penggunaan untuk orang dan bisnis.

Untuk memberikan salah satu contoh OAuth, anggaplah Anda menggunakan Microsoft Teams sebagai alat kolaborasi dan ingin mengakses informasi lebih lanjut tentang orang-orang yang bekerja dengan Anda, baik di dalam maupun di luar organisasi. Anda memutuskan untuk mengaktifkan integrasi LinkedIn agar Anda dapat mempelajari lebih lanjut tentang orang-orang saat Anda berinteraksi dengan mereka, tanpa keluar dari Teams. Microsoft dan LinkedIn kemudian menggunakan OAuth untuk mengotorisasi penautan akun dengan identitas Microsoft Anda.

Skenario lain penggunaan OAuth adalah ketika Anda mengunduh aplikasi pembuatan anggaran untuk membantu melacak pengeluaran dengan peringatan dan bantuan visual, seperti grafik. Untuk melakukan tugasnya, aplikasi memerlukan akses ke beberapa data perbankan Anda. Anda dapat memulai permintaan untuk menautkan rekening bank Anda dengan aplikasi, hanya memberikan otorisasi akses ke saldo dan transaksi rekening Anda. Aplikasi dan bank Anda akan menggunakan OAuth untuk melakukan pertukaran informasi ini atas nama Anda tanpa mengungkapkan kredensial masuk bank Anda ke aplikasi.

Contoh OAuth lainnya adalah ketika Anda adalah seorang pengembang yang menggunakan GitHub dan Anda mengetahui bahwa tersedia aplikasi pihak ketiga yang dapat terintegrasi dengan akun Anda untuk melakukan peninjauan kode otomatis. Buka Marketplace GitHub dan unduh aplikasi. Layanan kemudian akan meminta Anda untuk mengotorisasi koneksi dengan aplikasi menggunakan identitas GitHub Anda—proses yang akan ditangani menggunakan OAuth. Aplikasi peninjauan kemudian dapat mengakses kode Anda tanpa harus masuk ke kedua layanan tersebut setiap saat.

Apa perbedaan antara OAuth 1.0 dan OAuth 2.0?

OAuth 1.0 asli dikembangkan hanya untuk situs web. Tidak banyak digunakan saat ini karena OAuth 2.0 dirancang untuk aplikasi dan situs web, ditambah dengan penerapan yang lebih cepat dan lebih mudah. OAuth 1.0 tidak diskalakan seperti OAuth 2.0, dan hanya memiliki tiga kemungkinan alur otorisasi dibandingkan enam yang dimiliki OAuth 2.0.

Jika Anda berencana menggunakan OAuth, sebaiknya Anda menggunakan versi 2.0 dari awal. Sayangnya, OAuth 1.0 tidak dapat ditingkatkan ke OAuth 2.0. OAuth 2.0 dimaksudkan untuk menjadi desain ulang radikal dari OAuth 1.0 dan beberapa perusahaan teknologi besar memberikan kontribusi berupa umpan balik terkait desainnya. Situs web dapat mendukung OAuth 1.0 dan OAuth 2.0 secara bersamaan, tetapi para pembuat menghendaki agar 2.0 menggantikan 1.0 sepenuhnya.

OAuth vs. OIDC

OAuth dan Open ID Connect (OIDC) adalah protokol yang terkait erat. Keduanya serupa karena berperan dalam memberikan satu akses aplikasi ke sumber daya aplikasi lain atas nama pengguna. Perbedaannya adalah sementara OAuth digunakan untuk otorisasi guna mengakses sumber daya, OIDC digunakan untuk autentikasi identitas seseorang. Keduanya memiliki peran dalam memungkinkan dua aplikasi yang tidak terkait untuk berbagi informasi tanpa membahayakan data pengguna.

Penyedia identitas biasanya menggunakan OAuth 2.0 dan OIDC secara bersamaan. OIDC dikembangkan secara khusus untuk meningkatkan kemampuan OAuth 2.0 dengan menambahkan lapisan identitas ke dalamnya. Karena berbasis OAuth 2.0, OIDC tidak mendukung kompatibilitas mundur dengan OAuth 1.0.

Mulai menggunakan OAuth

Penggunaan OAuth 2.0 pada situs web dan aplikasi Anda dapat meningkatkan pengalaman pengguna maupun karyawan secara signifikan dengan mempermudah proses autentikasi identitas. Untuk memulai, lakukan investasi pada solusi penyedia identitas, seperti Microsoft Entra, yang melindungi pengguna dan data dengan keamanan bawaan.

Microsoft Entra ID (sebelumnya Azure Active Directory) mendukung semua alur OAuth 2.0. Pengembang aplikasi dapat menggunakan ID sebagai penyedia autentikasi berbasis standar untuk membantu mengintegrasikan kemampuan identitas modern berskala perusahaan ke dalam aplikasi. Admin IT dapat menggunakannya untuk mengontrol akses.
FAQ

Tanya jawab umum

  • OAuth adalah singkatan dari Open Authorization dan merupakan standar teknologi yang memungkinkan Anda untuk memberikan otorisasi pada satu aplikasi atau layanan agar dapat masuk ke aplikasi atau layanan lain tanpa perlu mengungkapkan data pribadi, seperti kata sandi. Ketika aplikasi meminta otorisasi untuk melihat informasi profil Anda—aplikasi sedang menggunakan OAuth.
  • OAuth bekerja dengan cara menukarkan token akses, yaitu potongan data yang berisi informasi tentang pengguna dan sumber daya yang menjadi tujuan dari token tersebut. Satu aplikasi atau situs web bertukar informasi terenkripsi tentang pengguna dengan aplikasi atau situs web lain dan menyertakan aturan tertentu untuk berbagi data. Mungkin juga ada aturan yang mengatur kapan aplikasi dapat menggunakan token dan tanggal berakhirnya token. Proses OAuth sebagian besar merupakan interaksi antar-mesin dengan sedikit keterlibatan langsung dari pengguna, jika ada
  • Banyak perusahaan menggunakan OAuth untuk mempermudah akses ke aplikasi dan situs web pihak ketiga tanpa perlu memberikan kata sandi atau data sensitif pengguna. Google, Amazon, Microsoft, Facebook, dan Twitter menggunakannya untuk berbagi informasi tentang akun mereka untuk berbagai tujuan, termasuk mempermudah proses pembelian. Platform identitas Microsoft menggunakan OAuth untuk memberikan otorisasi izin pada akun kerja dan sekolah, akun pribadi, akun sosial, serta akun gaming.
  • OAuth dan Open ID Connect (OIDC) adalah protokol yang terkait erat. Keduanya serupa karena berperan dalam memberikan satu akses aplikasi ke sumber daya aplikasi lain atas nama pengguna. Perbedaannya, OAuth digunakan untuk otorisasi guna mengakses sumber daya sementara OIDC digunakan untuk autentikasi identitas seseorang. Keduanya memiliki peran dalam memungkinkan dua aplikasi yang tidak terkait untuk berbagi informasi tanpa membahayakan data pengguna.
  • Terdapat banyak perbedaan antara OAuth 1.0 dan OAuth 2.0 karena OAuth 2.0 dirancang sebagai perombakan radikal terhadap OAuth 1.0, yang membuat versi tersebut hampir tidak lagi digunakan. OAuth 1.0 dikembangkan hanya untuk situs web, sedangkan OAuth 2.0 dirancang untuk aplikasi dan situs web. OAuth 2.0 lebih cepat dan lebih mudah diterapkan, dapat diskalakan, serta menawarkan enam pilihan alur otorisasi, dibandingkan dengan OAuth 1.0 yang hanya memiliki tiga alur.

Ikuti Microsoft Security