Iniciar sesión con Google, Apple o Facebook: cómo funciona, ventajas y riesgos

Los botones «Continuar con Google», «Iniciar sesión con Apple» o «Entrar con Facebook» están en casi todas las webs. Ahorran el registro y una contraseña nueva. ¿Hay que desconfiar, o es incluso más seguro que una contraseña? En pocas palabras: el botón en sí no es peligroso, pero todo pasa a depender de una sola cuenta que usted debe saber proteger.

Cómo funciona

Técnicamente es el estándar OpenID Connect, construido sobre OAuth 2.0. Intervienen tres partes: usted, la web o la aplicación en la que entra y el proveedor de la identidad (Google, Apple, Facebook).

1. Pulsa el botón y la web le lleva a la página del proveedor.
2. Inicia sesión en el proveedor (a menudo ya la tiene iniciada). La contraseña solo la escribe allí; la web no la ve nunca.
3. El proveedor le pregunta qué puede recibir la web, normalmente su nombre, correo y foto. En Google es el perfil básico; en Facebook una aplicación puede pedir sin revisión el perfil público y el correo; Apple permite ocultar el correo.
4. El proveedor envía a la web la confirmación de quién es usted y la web le deja entrar o le crea la cuenta.

OAuth existe para que las aplicaciones no tengan que recibir su contraseña. Sin él, un tercero conocería la contraseña, la almacenaría y la única forma de cortarle el acceso sería cambiarla. Hoy la web recibe un permiso limitado que usted puede retirar.

Qué ventajas tiene entrar con un proveedor

• No se crea otra contraseña. La web no guarda ninguna contraseña suya, así que no puede perderla en una filtración, y usted no puede repetirla.
• Hereda la protección del proveedor. La verificación en dos pasos, las claves de acceso y los avisos de inicios de sesión sospechosos funcionan si los activa en el proveedor.
• Usted decide qué recibe la web y puede retirarlo. Google ofrece una lista de aplicaciones vinculadas que puede revisar o quitar en cualquier momento, Apple permite dejar de usar «Iniciar sesión con Apple» para una aplicación desde los ajustes y Facebook tiene el apartado «Aplicaciones y sitios web».
• Es rápido. Menos errores al teclear, menos contraseñas olvidadas, menos formularios.

Dónde están los riesgos

• Una cuenta abre muchas puertas. Si el proveedor bloquea su cuenta, la pierde o alguien se hace con ella, todos los servicios vinculados quedan en peligro o desaparecen a la vez.
• El proveedor sabe más de usted. La web le pide al proveedor que lo verifique, de modo que el proveedor conoce cada inicio de sesión de este tipo. Lo que haga con ese dato lo fijan sus propias políticas.
• Los permisos se conceden deprisa. Microsoft advierte de que muchas personas pulsan «aceptar» sin leer los permisos. Una aplicación fraudulenta puede entonces pedir más de lo que necesita o hacerse pasar por una de confianza. Una web del tiempo no necesita acceso a su correo.
• Retirar el acceso no borra lo que la web ya tiene. Google señala que debe pedir al desarrollador que elimine los datos ya recogidos, y Facebook ofrece una solicitud de eliminación de datos cuando quita una aplicación.
• La cuenta del servicio queda atada a la del proveedor. Si cambia de correo, de proveedor o, con Apple, desactiva el reenvío de un correo oculto, puede tener problemas para recuperar la cuenta o dejar de recibir mensajes.

¿Hay que tener miedo?

Del botón, no. Más bien de una cuenta del proveedor mal protegida. Entrar con una cuenta bien protegida (contraseña larga y única o clave de acceso, verificación en dos pasos, datos de recuperación al día) es, en la mayoría de los servicios, más seguro que una contraseña nueva escrita a mano y repetida. Pero si la cuenta del proveedor está protegida con una contraseña débil, una filtración se convierte en un desastre en todos los servicios.

Conviene distinguir. En servicios poco importantes (una tienda, un juego, un periódico) entrar con un proveedor es cómodo y suficientemente seguro. Para el correo, la banca, el trabajo y el gestor de contraseñas, use mejor una contraseña fuerte propia o una clave de acceso, para que no dependan de otra cuenta más.

Cómo usarlo con seguridad

1. Proteja la cuenta del proveedor: contraseña larga y única (genere una) o clave de acceso, verificación en dos pasos, teléfono y correo de recuperación actualizados.
2. Lea lo que pide la web. ¿Encaja con lo que hace? Y compruebe que la página de inicio de sesión es realmente del proveedor y no una imitación.
3. Comparta lo mínimo. Si no quiere dar su correo, Apple ofrece ocultarlo.
4. De vez en cuando revise las aplicaciones vinculadas (Google, Apple y Facebook tienen cada uno una lista) y quite las que ya no use.
5. En los servicios importantes tenga una forma de acceso alternativa, como una contraseña propia o una clave de acceso, para que perder la cuenta del proveedor no le deje fuera.
6. Cuando deje de usar un servicio, retire su acceso y pida que borre sus datos.

Esto no es asesoramiento de seguridad para su situación concreta. Ni entrar con un proveedor ni una contraseña fuerte protegen por sí solos del phishing o del software malicioso.