¿Cómo describiría la autorización entre servicios en la especificación API? ¿Qué protocolos utiliza?

La autorización entre servicios en la especificación API generalmente se describe mediante esquemas de seguridad estándar compatibles con OpenAPI u otras especificaciones. En la descripción indico:

• Tipo de autorización (por ejemplo, OAuth 2.0, clave API, JWT)
• Lugar de transmisión del token (cabecera Authorization, parámetro query, etc.)
• Formato del token y permisos necesarios (alcances)

A menudo utilizo los siguientes protocolos:

• OAuth 2.0 — para autorización delegada con tokens de acceso, especialmente si los servicios pertenecen a diferentes dominios u organizaciones.
• JWT (JSON Web Token) — para transmitir información sobre el usuario y los permisos en forma cifrada.
• Claves API — para casos simples donde se necesita identificar el servicio sin autenticación compleja.

Ejemplo en OpenAPI:

components:
  securitySchemes:
    bearerAuth:
      type: http
      scheme: bearer
      bearerFormat: JWT
security:
  - bearerAuth: []

Esto permite a los clientes y servicios entender cómo transmitir los tokens y qué permisos se requieren.