Al desarrollar una aplicación web, una cosa que no se puede evitar es la implementación de una “función de autenticación”. Sin embargo, implementar hash de contraseñas, gestión de sesiones, contramedidas CSRF, integración OAuth, etc. por su cuenta desde cero plantea altos riesgos de seguridad y requiere importantes costos de desarrollo.

Por lo tanto, esta vez presentaremos algunas de las mejores prácticas para implementar una autenticación segura utilizando “NextAuth.js” (actualmente Auth.js), que es el estándar de facto para la autenticación en entornos Next.js.

Mejor práctica 1: Básicamente priorizar OAuth (inicio de sesión social)

Administrar sus propias contraseñas significa que corre el riesgo de fuga de información. Cuando utilice NextAuth.js, primero considere introducir un inicio de sesión social (proveedor de OAuth) como Google o GitHub. Configurar el proveedor es sorprendentemente fácil: simplemente escriba el ID del cliente y el secreto en el archivo de configuración y agregue algunas líneas de código para crear un sistema de autenticación sólido. También evita a los usuarios la molestia de recordar contraseñas, lo que ayuda a mejorar las tasas de registro.

Mejor práctica 2: uso diferencial de JWT y sesión de base de datos

Con NextAuth.js, puede seleccionar dos tipos de métodos de retención de sesión: “JWT (JSON Web Token)” y “sesión de base de datos”.

• Ventajas de JWT: No se requieren consultas a la base de datos, lo que resulta en tiempos de respuesta más rápidos y un escalamiento más fácil. Esto se recomienda de forma predeterminada.
• Ventajas de las sesiones de bases de datos: Las sesiones se pueden invalidar fácilmente de inmediato (por ejemplo, si un administrador obliga a un usuario específico a cerrar sesión).

Diseñe según sus requisitos, como sesiones de bases de datos para sistemas empresariales que requieren altos controles de seguridad y JWT para aplicaciones de consumo orientadas al rendimiento.

Mejor práctica 3: garantizar la protección de rutas con middleware

Al combinar NextAuth.js con las funciones de Middleware introducidas en Next.js 12 y versiones posteriores, puede bloquear firmemente el acceso no autorizado a páginas específicas (por ejemplo, /dashboard/*). El método tradicional de redireccionamiento usando useSession dentro de un componente tenía el problema del parpadeo momentáneo de la pantalla (FOUC), pero al usar middleware que se ejecuta en el borde, es posible redirigir sin problemas a la pantalla de inicio de sesión antes de que el usuario la vea.

Mejor práctica 4: gestión estricta de claves secretas

Para ejecutar NextAuth.js en un entorno de producción, es necesario configurar la variable de entorno NEXTAUTH_SECRET. Esta es la clave más importante utilizada para cifrar el token y, si se ve comprometida, conduce directamente a una vulnerabilidad importante. Asegúrese de que su equipo administre las variables de entorno de forma segura en la pantalla de configuración de variables de entorno del entorno de implementación (como Vercel) y nunca las envíe al código fuente (Git).

Evite reinventar la rueda y deje la carga de la autenticación a una biblioteca confiable. Ésa es la regla de oro del desarrollo web seguro moderno.