Google dodaje wsparcie DPoP do OAuth, by chronić refresh tokeny przed kradzieżą
W skrócie: Google ogłosił wsparcie dla DPoP (Demonstrating Proof-of-Possession, RFC 9449) w swojej platformie OAuth – refresh tokeny są kryptograficznie wiązane z parą kluczy wygenerowaną po stronie klienta, dzięki czemu skradzione tokeny nie mogą zostać ponownie wykorzystane przez atakujących. Ochrona dotyczy tylko długotrwałych refresh tokenów, a krótkotrwałe access tokeny pozostają standardowymi tokenami Bearer, aby uniknąć dodatkowego obciążenia kryptograficznego przy dużym ruchu API. Google podkreśla też znaczenie DPoP dla zabezpieczania architektur wieloagentowych i Model Context Protocol (MCP), zalecając Google Cloud Secure Token Service do łańcuchów delegowania tokenów między agentami.
To podsumowanie zostało automatycznie przygotowane przez sztuczną inteligencję na podstawie publikacji „Google Developers”. To nasz tekst, nie kopia oryginału — fakty, liczby i cytaty należą do źródła, do którego link znajduje się powyżej i poniżej.
Co się zmieniło?
- 1DPoP (RFC 9449) jest teraz wspierany do wiązania refresh tokenów Google OAuth z parą kluczy klienta
- 2Access tokeny pozostają standardowymi tokenami Bearer, by zachować wydajność API
- 3DPoP zalecany dla modeli Backend-for-Frontend, Token-Mediating Backend i Browser-based OAuth Client
- 4Google Cloud Secure Token Service (STS) zalecany dla łańcuchów delegowania tokenów wieloagentowych/MCP, ponieważ oauth2.googleapis.com nie wspiera RFC 8693 Token Exchange
- 5DBSC (Device Bound Session Credentials) przedstawiony jako uzupełniająca ochrona dla ciasteczek sesji przeglądarki
Dlaczego to ważne?
Kradzież refresh tokenów poprzez złośliwe oprogramowanie typu infostealer lub ataki adversary-in-the-middle to realne zagrożenie dla każdej usługi korzystającej z Google OAuth, w tym integracji CRM, kalendarza i API chmurowych wykorzystywanych w automatyzacji i łańcuchach agentów; DPoP zamyka tę lukę bez spowalniania codziennych wywołań API.
Co to oznacza dla agentów AI i contact center?
Jeśli Twój system uwierzytelnia się w usługach Google (Gmail, Calendar, Drive, Workspace) przez OAuth do integracji CRM lub danych połączeń, zastosowanie DPoP do refresh tokenów zmniejsza ryzyko kradzieży poświadczeń ze skompromitowanych komputerów agentów lub przeglądarek. W konfiguracjach wieloagentowych lub opartych na MCP sprawdź, czy przepływy delegowania nie wymagają Google Cloud STS zamiast współdzielonych kluczy.
🧪 Warte przetestowania
Testowanie wdrożenia DPoP jest niskiego ryzyka i precyzyjnie ukierunkowane: dotyczy tylko obsługi refresh tokenów, a nie opóźnienia access tokenów, co ułatwia pilotaż w integracjach dotyczących Google API lub łańcuchów agentów MCP.
Źródła
- Google DevelopersOficjalneŹródło pierwotneOryginalny artykuł →„Announcing DPoP Support for Google OAuth: Securing Refresh Tokens“15 paź 2026, 03:00
- Data publikacji źródła
- 15 paź 2026, 03:00
- Znalezione przez nasz system
- 15 paź 2026, 21:11
- Podsumowanie wygenerowano
- 15 paź 2026, 21:12
Artykuł napisała AI na podstawie oryginalnego źródła. Fakty, liczby i ceny pochodzą ze źródła; brakujące wartości oznaczono „Brak oficjalnych danych”. Informacje prawne, prawa autorskie i prywatność