Wat is OAuth 2.0 en hoe werkt het?

Waarom OAuth 2.0 bestaat

Voor OAuth was er een probleem: als je een app toegang wilde geven tot je e-mails of agenda bij een andere dienst, moest je die app je wachtwoord geven. De app kon dan alles doen wat jij ook kon, inclusief je wachtwoord wijzigen of je account verwijderen.

OAuth 2.0 lost dit op door een tussenpersoon te introduceren: de autorisatieserver van de dienst zelf. De app krijgt nooit je wachtwoord. Ze krijgt een tijdelijk token met specifiek omschreven rechten, dat op elk moment ingetrokken kan worden.

Meer over hoe authenticatie werkt in webapplicaties lees je in het artikel over authenticatie in een webapplicatie.

Hoe de Authorization Code Flow werkt

De meest gebruikte variant van OAuth 2.0 is de Authorization Code Flow. Stap voor stap:

1. Je klikt op “Inloggen met Google” in een app
2. De app stuurt je door naar Google met een beschrijving van welke rechten het wil
3. Google toont een scherm: “App X wil je agenda lezen, is dat goed?”
4. Je klikt op Toestaan
5. Google stuurt je terug naar de app met een tijdelijke code
6. De app wisselt die code in bij Google voor een access token (dit gebeurt op de achtergrond, server-to-server)
7. De app gebruikt het access token bij elk verzoek aan de Google API

Jij hebt op geen enkel moment je wachtwoord gedeeld met de app. Je kunt de toegang op elk moment intrekken via je Google-instellingen.

Access tokens, refresh tokens en scopes

Een access token is een tijdelijke sleutel die de app meestuurt bij elke API-aanroep. De API controleert of de token geldig is. Access tokens verlopen snel, typisch na 1 uur, om schade te beperken als ze onderschept worden.

Een refresh token is een langlevende sleutel waarmee de app automatisch een nieuw access token kan ophalen zonder dat de gebruiker opnieuw toestemming hoeft te geven. Refresh tokens verlopen na weken of maanden.

Scopes definiëren wat de app precies mag. Een app die jouw agenda wil lezen vraagt scope calendar.readonly. Als die app later ook e-mails wil versturen, moet ze opnieuw toestemming vragen voor scope mail.send. Je ziet altijd precies wat je goedkeurt.

Praktische voorbeelden

Een agendatool die vergaderingen inplant in jouw Google Agenda: de tool vraagt OAuth-toegang tot je agenda, je keurt het goed, en de tool kan afspraken aanmaken zonder ooit je wachtwoord te kennen.

Een dashboard dat data uit Microsoft 365 haalt: via OAuth 2.0 koppel je je Microsoft-account. Het dashboard kan daarna SharePoint-bestanden lezen of Teams-data ophalen met jouw toestemming.

Een n8n-workflow die e-mails verstuurt vanuit jouw Gmail: je autoriseert n8n eenmalig via OAuth, n8n slaat een refresh token op en kan voortaan e-mails versturen zonder dat je elke keer opnieuw inlogt.

OAuth 2.0 in jouw applicatie

Als je een applicatie laat bouwen met gebruikersbeheer, kom je vrijwel zeker OAuth 2.0 tegen, zowel als methode voor gebruikers om in te loggen (via Google of Microsoft) als als manier om met externe APIs te koppelen.

Implementeer OAuth 2.0 nooit volledig zelf. Gebruik een authenticatieplatform als Supabase Auth, Auth0 of Azure Entra ID. Die platforms hebben de complexe delen al correct gebouwd en onderhouden ze actief.

Onze tip: wil je weten welke apps toegang hebben tot je Google- of Microsoft-account via OAuth? Controleer dan Google Account beveiligingsinstellingen onder “Toegang van derden” of Microsoft Account instellingen onder “Privacy en beveiliging”. Zie je apps staan die je niet herkent of niet meer gebruikt? Trek de toegang direct in.