OAuth

haladóelterjedt

Az OAuth olyan nyílt szabvány, amellyel a jelszavad átadása nélkül engedélyezheted egy alkalmazásnak vagy AI-agentnek, hogy korlátozottan hozzáférjen egy másik szolgáltatásban tárolt adataidhoz.

Érthetően

Képzeld el, hogy a szállodában nem a mesterkulcsot kapod meg, hanem egy kártyát, amely csak a te szobádat és az edzőtermet nyitja, és a kijelentkezés napján lejár. Az OAuth ugyanezt csinálja az interneten: egy alkalmazás nem a jelszavadat kapja meg, hanem egy korlátozott, visszavonható „belépőkártyát”.

Erre azért van szükség, mert a jelszó mindent nyit. Ha odaadnád egy naptárappnak a Google-jelszavadat, az a leveleidet is olvashatná, és a jelszót is megváltoztathatná. Az OAuth-nál az alkalmazás előre megmondja, mihez kér hozzáférést, például csak a naptáradhoz és csak olvasásra, te pedig ezt jóváhagyod vagy elutasítod.

Az AI-agentek korában ez különösen fontos lett. Amikor egy agent a nevedben e-mailt rendez, fájlokat keres vagy időpontot foglal, jellemzően OAuth-on keresztül kap engedélyt. Így az agent csak annyit tehet, amennyit jóváhagytál, és az engedélyt bármikor visszavonhatod.

Hogyan működik

Az alkalmazás vagy agent jelzi, mihez kér hozzáférést (például „naptár olvasása”), és átirányít ahhoz a szolgáltatóhoz, ahol a fiókod van.
Ott jelentkezel be, a szolgáltató saját oldalán, így a jelszavadat az alkalmazás soha nem látja. Egy jóváhagyó képernyőn megnézheted, pontosan milyen jogokat kér.
Ha rábólintasz, a szolgáltató a háttérben egy hozzáférési tokent ad az alkalmazásnak. Ez egy hosszú kódsor, amely csak a jóváhagyott műveletekre érvényes.
Az alkalmazás ezt a tokent mutatja fel minden kérésnél. A token jellemzően rövid idő után lejár. Sok szolgáltatásnál egy külön frissítő tokennel újra lehet kérni, így nem kell mindig újra jóváhagynod.
A fiókod beállításaiban bármikor visszavonhatod az engedélyt. Ezután az alkalmazás nem kaphat új tokent, a már kiadott pedig legkésőbb a lejártakor megszűnik. A jelszavadat közben nem kell megváltoztatnod.

Példa a mindennapokból

Összekötöd az AI-asszisztensedet a Google-naptáraddal: felugrik egy Google-ablak, amely megkérdezi, engedélyezed-e, hogy az alkalmazás lássa és szerkessze az eseményeidet. Az „Engedélyezem” gombra kattintva OAuth-engedélyt adtál, és a jelszavad közben végig a Google-nél maradt.

Kit érint

mindenkiValahányszor egy alkalmazást vagy AI-agentet összekötsz a levelezéseddel, naptáraddal vagy tárhelyeddel, OAuth-engedélyt adsz, ezért érdemes elolvasnod, mit hagysz jóvá.

fejlesztőHa agentet vagy integrációt építesz, az OAuth a szokásos módja annak, hogy a felhasználó nevében biztonságosan érj el külső szolgáltatásokat. → Kód

vállalkozó, vezetőA céges adatokhoz hozzáférő agentek jogosultságait OAuth-engedélyekkel lehet szűkre szabni. A céges fiókkezelő felületen ezek az engedélyek áttekinthetők, és szükség esetén visszavonhatók.

munkavállalóHa a munkahelyi fiókodat kötöd össze egy AI-eszközzel, a jóváhagyásoddal céges adatokhoz adsz hozzáférést, ezért nem mindegy, mire kattintasz. → Munka és HR

Gyakori félreértés

TévhitAz OAuth azt igazolja, hogy ki vagyok, vagyis ez egy bejelentkezési rendszer.

ValójábanAz OAuth arról szól, hogy mit tehet meg valaki a nevedben, nem arról, hogy ki vagy. A „Bejelentkezés Google-fiókkal” gomb mögött az OAuth-ra épülő OpenID Connect végzi az azonosítást.

Korlátok és kockázatok

Az OAuth csak annyira véd, amennyire figyelsz: ha gondolkodás nélkül túl széles jogokat hagysz jóvá, az alkalmazás vagy agent jogszerűen fér hozzá mindenhez, amit engedélyeztél.
Csalók hamis bejelentkezési oldallal, vagy akár a valódi szolgáltatói oldalon megjelenő, ártatlannak álcázott alkalmazással is kérhetnek engedélyt. Ezért mindig nézd meg, valóban a szolgáltató oldalán vagy-e, melyik alkalmazás kér engedélyt, és milyen jogokat.
A token értékes zsákmány: ha kiszivárog egy rosszul védett alkalmazásból, a támadó a lejáratig vagy a visszavonásig a te nevedben léphet fel.
Az OAuth azt nem ellenőrzi, hogy az agent okosan használja-e az engedélyt: egy megtévesztett agent a jóváhagyott kereteken belül is okozhat kárt.

Hasonló, de nem ugyanaz

Hitelesítés – A hitelesítés azt állapítja meg, ki vagy, az OAuth viszont azt szabályozza, mihez férhet hozzá valaki a nevedben.
API-kulcs – Az API-kulcs jellemzően egy alkalmazást azonosító, tartósan érvényes titkos kód, amelyet a fejlesztő kezel. Az OAuth-token viszont egy adott felhasználó jóváhagyásához és jogköréhez kötött, lejáró engedély.
Egyszeri bejelentkezés – Az egyszeri bejelentkezés azt jelenti, hogy egy belépéssel több rendszert használhatsz. Ezt gyakran az OAuth-ra épülő OpenID Connect vagy más szabvány valósítja meg. Az OAuth maga a hozzáférés átadásáról szól, nem a belépésről.

Kapcsolódó fogalmak

Tágabb

Jogosultságkezelés, Hozzáférés-szabályozás, Kiberbiztonság

Szűkebb

Hozzáférési token, Frissítő token, Jogosultsági kör

Rokon

Hitelesítés, API-kulcs, OpenID Connect, Model Context Protocol, Legkisebb jogosultság elve

Röviden a története

Az OAuth első változata 2007-ben készült el, mert a webes szolgáltatások addig a felhasználók jelszavát kérték el egymás eléréséhez. A ma használt OAuth 2.0 szabványt 2012-ben adta ki az internetes szabványokért felelős IETF.

Hol tart most

Az OAuth 2.0 az internetes hozzáférés-engedélyezés alapszabványa, szinte minden nagy szolgáltató használja. A bevált biztonsági gyakorlatokat egységesítő OAuth 2.1 hosszú ideje tervezetként készül, de a Model Context Protocol engedélyezési része már erre épít. Az AI-agentek és a külső szolgáltatások összekapcsolása jellemzően OAuth-on keresztül történik, miközben az agentekre szabott kiegészítések még formálódnak.

Állapot: 2026. november

A hírekben

1 Agent Age-sztoriban fordul elő; a görbe a hírmagazin heti előfordulása.

A LiteLLM-et a Claude Code-ból kiszivárgott GitHub-tokenekkel mérgezték meg2026. okt. 26. · Kód

Más nevei

OAuth · OAuth 2.0 · OAuth 2.1 · Open Authorization · nyílt engedélyezés · OAuth-engedélyezés · OAuth-hitelesítés · OAuth-token

Források

A szócikk gépi szerkesztéssel készült és gépi szakmai lektoráláson ment át; a „hírekben” rész az Agent Age sztorijaiból automatikusan frissül.