Il 20 agosto 2026, Cloudflare ha rilasciato gli scope OAuth opzionali per consentire agli utenti di scegliere esattamente quali permessi concedere per un’attività specifica. Se colleghi agenti AI o strumenti SaaS ai tuoi account, non dovrai più accettare una schermata di approvazione del tipo tutto o niente.
Secondo il Cloudflare Blog, un client OAuth può ora etichettare i propri permessi come obbligatori o opzionali. Durante l’accesso, un utente può deselezionare le caselle opzionali. Il token generato riceve quindi solo i permessi approvati. Le applicazioni esistenti mantengono la loro configurazione standard a meno che gli sviluppatori non attivino esplicitamente questa funzionalità.
Questo cambia il modello di autorizzazione.
Miglior controllo per agenti e strumenti AI
Molti strumenti moderni, come i server Model Context Protocol (MCP) e le interfacce a riga di comando, richiedono un accesso esteso perché supportano molte attività. Tuttavia, oggi potresti volere che un agente esegua solo un’attività specifica. Con gli scope opzionali, puoi concedere allo strumento solo l’accesso di cui ha bisogno in questo momento. Cloudflare afferma che questo modello aiuta anche gli strumenti interni e le integrazioni SaaS standard.
I token diventano molto più mirati.
I numeri che non dovresti verificare da solo
Cloudflare afferma di aver elaborato più di 1 milione di autorizzazioni da giugno. Questo numero proviene direttamente dall’azienda: nessuno al di fuori di Cloudflare ha misurato in modo indipendente l’adozione o verificato queste cifre. Cloudflare non ha inoltre dimostrato che questa funzionalità riduca le violazioni della sicurezza nel mondo reale. Un token più ridotto limita l’accesso, ma la tua app deve comunque gestire i permessi parziali senza andare in crash.
Cosa devono gestire gli sviluppatori
Questo aggiornamento sposta il lavoro concreto sugli sviluppatori di app. In passato, un’app poteva presumere di ricevere ogni permesso richiesto. Ora, gli sviluppatori devono esaminare il token dopo l’autorizzazione per vedere quali scope sono stati concessi. Se un utente disattiva uno scope opzionale, l’app deve mostrare un messaggio utile anziché fallire silenziosamente.
Le app devono gestire i permessi mancanti.
Come puoi testarlo oggi
Se crei o gestisci integrazioni, testa questo flusso di lavoro in un ambiente di staging:
- Crea un client OAuth di test con due scope obbligatori e due scope opzionali.
- Richiedi tutti e quattro gli scope, ma deseleziona i due opzionali nella schermata di consenso.
- Scambia il codice di autorizzazione ed esamina il payload del token finale.
- Chiama le tue API per verificare che il server blocchi correttamente le azioni disabilitate senza considerare non valido l’intero token.
- Verifica come i tuoi agenti AI e i server MCP segnalano agli utenti le funzionalità negate.
Eseguire queste verifiche adesso garantirà che i tuoi strumenti rimangano stabili quando gli utenti scelgono di proteggere i propri dati.