Genesys Cloud
El secreto del cliente OAuth ya no es visible tras su creación

Anunciado el Fecha efectiva Idea
2025-02-10 - Enlace

En una futura versión, Genesys Cloud mejorará la seguridad del cliente OAuth limitando el acceso al secreto del cliente. Actualmente, los administradores pueden ver el secreto del cliente OAuth en cualquier momento en la interfaz de usuario de administración y recuperarlo a través de determinadas respuestas de la API. Después de este cambio, el secreto del cliente sólo será visible cuando se cree un nuevo cliente OAuth o cuando se genere un nuevo secreto. Este cambio refuerza la seguridad de OAuth reduciendo la exposición a credenciales sensibles y dando tiempo a los administradores para ajustar sus procesos. Al permitir el acceso sólo en el momento de la creación/restablecimiento, Genesys Cloud fomenta las mejores prácticas para la gestión segura de credenciales.

Nota: Los administradores deben copiar y almacenar el secreto de forma segura, ya que no podrá recuperarse posteriormente.

Plan de transición

Eliminar el secreto del cliente de la interfaz de administración

  • El secreto del cliente sólo será visible en el momento de la creación/reinicio.
  • Un aviso de la interfaz de usuario recuerda a los administradores que deben copiar y almacenar de forma segura el secreto.
  • El secreto seguirá siendo accesible a través de la API durante esta fase para facilitar la transición.

Eliminar el secreto del cliente de las respuestas de la API

El secreto del cliente ya no será devuelto en las respuestas de la API, incluyendo:

  • GET /api/v2/oauth/clients/{clientid}
  • PUT /api/v2/oauth/clients/{clientid}
Esto significa que los administradores y las aplicaciones ya no podrán recuperar el secreto del cliente después de la creación/restablecimiento. Además, taquí no hay ningún cambio en el comportamiento para POST /api/v2/oauth/clients. El secreto del cliente seguirá siendo devuelto a través de la API en la creación del cliente o en el restablecimiento del secreto del cliente cuando se utilice el comando POST. 

Medidas necesarias

Antes de que este cambio entre en vigor, los administradores deben:
  • Revisar los clientes OAuth existentes y asegurarse de que todos los secretos necesarios se almacenan de forma segura.
  • Actualice cualquier flujo de trabajo que dependa de la recuperación del secreto del cliente desde la API.
Para más información, consulte el cambio de interfaz de usuario : Eliminación de OAuth Client Secret para Admin UI community post.