OpenID Connect

Qué es

OpenID Connect (OIDC) es, según su especificación, «una capa de identidad simple sobre el protocolo OAuth 2.0». Lo publica la OpenID Foundation; a octubre de 2026, la versión vigente es OpenID Connect Core 1.0 con el conjunto de erratas 2 (15 de diciembre de 2023). En 2024, ese mismo texto se publicó también como norma internacional ISO/IEC 26131:2024.

Sirve para que una aplicación (la parte que confía, o relying party) verifique la identidad de una persona a partir de la autenticación que hizo un proveedor de OpenID (OpenID Provider), y obtenga datos básicos de su perfil.

Cómo funciona

• La app inicia un flujo de OAuth 2.0 e incluye el ámbito openid en la solicitud.
• El proveedor autentica a la persona y devuelve, además del token de acceso, un ID Token.
• El ID Token es un JSON Web Token (JWT) firmado con afirmaciones (claims) sobre la autenticación. Debe incluir al menos el emisor (iss), el sujeto (sub), la audiencia (aud), la expiración (exp) y la hora de emisión (iat).
• Con el token de acceso, la app puede consultar el endpoint UserInfo para obtener más datos del perfil.

Las especificaciones complementarias definen, por ejemplo, el descubrimiento automático de la configuración del proveedor en /.well-known/openid-configuration.

Errores frecuentes

• OAuth 2.0 y OpenID Connect no son lo mismo. OAuth autoriza el acceso a recursos; OIDC agrega la identidad del usuario. Por eso un token de acceso no sirve como prueba de identidad.
• La app debe validar el ID Token (firma, emisor, audiencia y vigencia) antes de confiar en él.
• Identificar a la persona no es lo mismo que decidir a qué datos clínicos puede acceder. Eso lo resuelven los permisos y las políticas de cada sistema.
• La especificación tiene muchas partes opcionales. Por eso los sectores publican perfiles, como el perfil iGov para gobiernos o los requisitos de SMART App Launch en salud.