Principal, agente y mandato
El principal es la persona o entidad representada. El agente ejecuta tareas con autonomía definida. El mandato vincula a ambas partes con finalidad, alcances, límites financieros, vigencia y nivel de autonomía. El agente no debe poder ampliar su propia autoridad.
Ciclo de vida y revocación
Una delegación puede pasar por creación, consentimiento pendiente, actividad, suspensión, revocación y expiración. La verificación debe considerar el estado actual, incluso si la política cambió o el mandato se revocó después de emitir la credencial.
Control por transacción
Antes de recomendar una operación, se evalúan comercio, importe, propósito, alcance y límites frente al mandato vigente y las reglas institucionales. Un token de sesión aislado no demuestra que el cliente autorizó esa compra concreta.
Resultado y evidencia
Una capa de decisión puede recomendar APPROVE, DENY, CHALLENGE o REVIEW con razones y procedencia verificables. La institución que gobierna los recursos conserva la autorización y ejecución final.
¿Bastan OAuth, los alcances o JWT para autorizar un pago agéntico?
No necesariamente. Las credenciales ayudan, pero también importan el mandato vigente, la finalidad y las reglas institucionales.