Contraseña, Token, Sesión, OAuth2: Qué significan estas palabras en los listados
Cada uno de estos términos proviene de la documentación para desarrolladores, y cada uno significa algo más específico en un listado que allí. Conocer esa diferencia es lo que evita que compres un formato que tu herramienta no puede leer.
Avery Bennett
Los listados describen lo que recibirás usando palabras tomadas de la documentación para desarrolladores: token, sesión, OAuth2. Cualquiera que haya trabajado con una API ha visto las tres, y ese es el problema, porque en un listado cada una significa algo más limitado y específico que en la documentación de la que provienen.
Equivocarse aquí es el error más costoso disponible, porque los desajustes de formato suelen ser pérdidas totales, no parciales. La cuenta puede ser exactamente como se describe y aun así ser inutilizable para lo que la compraste.
Solo contraseña
Recibes: un identificador y una contraseña. Nada más.
Este es el único formato sin significado oculto, y vale la pena notar lo que no incluye. No hay segundo factor, lo cual tiene dos caras: puedes configurar el tuyo de inmediato, pero también cualquiera que tenga las mismas credenciales podría hacerlo. Si el registrante original aún tiene una vía de recuperación, una contraseña es la posición más débil que puedes tener, porque es justo lo que un flujo de recuperación está diseñado para restablecer.
Bien para iniciar sesión de vez en cuando. Mala elección para algo que planeas conservar.
Contraseña más un segundo factor
Recibes: lo anterior, más algo que satisface el segundo paso. Y aquí es donde los listados comprimen tres cosas bastante distintas en una sola palabra.
- Un secreto compartido (la semilla detrás de una app de autenticación) significa que puedes generar códigos tú mismo indefinidamente. Esta es la versión fuerte.
- Una lista de códigos de respaldo es un número finito de usos únicos. Una vez agotados, quedas fuera a menos que hayas reemplazado el factor para entonces.
- Una contraseña en la nube, como la que usa Telegram, es una cadena fija en lugar de algo rotatorio.
La pregunta que hay que hacerle a un listado es cuál de las tres estás recibiendo, porque "incluye 2FA" cubre todas y no son equivalentes. Un segundo factor que no puedes regenerar es una cuenta regresiva, no una función de seguridad.
Token o clave de API
Recibes: una cadena de credenciales emitida por la plataforma, normalmente sin contraseña adjunta.
Aquí está la brecha con el significado de desarrollador. En la documentación de API, un token normalmente lo creas tú mismo y puedes volver a crearlo cuando quieras. En un listado, es una credencial que ya existe, que tú no creaste y que generalmente no puedes renovar. Cuando expira o se revoca, desaparece, y sin la contraseña subyacente no hay nada a lo que recurrir.
La segunda diferencia importa igual: los tokens normalmente no se pueden usar para iniciar sesión a través de una interfaz web normal. Si tu plan implicaba entrar y navegar, un token no hace eso, por muy válido que sea.
Archivos de sesión
Recibes: datos que representan un inicio de sesión ya completado, como una carpeta TDATA de Telegram, un archivo .session o cookies de navegador para una plataforma web.
La propiedad crítica, y la que casi nadie piensa al comprar: una sesión es una copia, y las copias no se excluyen entre sí. Varias personas pueden tener la misma sesión simultáneamente y todas estar conectadas. El hecho de recibir una no te dice si alguien más todavía la tiene.
La única forma de saberlo es revisar la lista de dispositivos autorizados o sesiones activas de la plataforma una vez que entres, y cerrar las que no reconozcas. Trátalo como parte de recibir el producto, no como un paso de seguridad opcional, y hazlo mientras aún haya tiempo para reclamar.
OAuth2
Recibes: un token de actualización, más el ID de cliente y el secreto con los que fue emitido.
Este es el formato donde la incompletitud es más común y menos evidente. Un token de actualización existe para intercambiarse por tokens de acceso nuevos, pero el intercambio requiere las credenciales de cliente con las que fue emitido. Recibe el token de actualización sin ellas y tienes una cadena que funciona hasta que el token de acceso actual expire y luego se detiene para siempre.
Todo parece estar bien en la entrega, que es exactamente el problema. La comprobación no es "¿funciona ahora?" sino "¿puedo hacer una actualización?", y son pruebas diferentes. Haz la segunda.
Cómo el mercado valora el formato, que es de forma inconsistente
Vale la pena saberlo porque afecta dónde conviene negociar:
- En Telegram, el formato no se valora en absoluto. Los listados de TDATA, sesión y JSON están al mismo nivel, así que no hay razón para aceptar el equivocado.
- En algunos estantes de buzones, el acceso por protocolo es el atributo más barato medido, prácticamente gratis, mientras que los atributos de verificación cuestan casi el doble del precio medio. Un comprador que optimiza para "mi herramienta puede conectarse" está optimizando el eje gratis.
- En un estante de buzones, el mismo atributo de protocolo cuesta casi el doble del precio medio, el único lugar donde aparece esa inversión. Los hábitos de categoría no se transfieren.
Así que la generalización útil es que no hay generalización. Lee el precio del formato en el estante del que realmente estás comprando.
De qué errores puedes recuperarte
La entrega es instantánea en todo el catálogo y la ventana de garantía media es de doce horas, así que todas las comprobaciones siguientes están disponibles de inmediato y ninguna lo estará más tarde.
- Recuperable: recibir un formato que tu herramienta no puede leer, si lo notas dentro de la ventana. Es un desajuste limpio y fáctico contra el listado.
- Recuperable si miras: una sesión que otra persona todavía tiene, pero solo si revisas la lista de dispositivos en lugar de asumir.
- Normalmente no recuperable: un token de actualización de OAuth2 sin sus credenciales de cliente, si solo probaste que el token de acceso actual funcionaba. Para cuando falla, la ventana ya está cerrada hace tiempo.
- No recuperable en absoluto: códigos de respaldo agotados. No hay versión de esto que termine bien, por eso identificar qué tipo de segundo factor te dieron encabeza la lista.
La versión específica de Telegram, que cubre TDATA y archivos de sesión en detalle, profundiza en ese estante. La lista de verificación previa a la compra cubre las comprobaciones alrededor de estos formatos.
