OpenID Connect

Outcome: Complete the task with OpenID Connect (OpenID Connect). User context: Un portal de RR. HH. encuentra su emisor de la empresa, envía `nonce` y `state`, y recibe un ID Token. Verifica la firma, el emisor, la audiencia, la expiración y el `nonce`. Luego utiliza `sub` como el ID de usuario estable. El correo electrónico es solo un dato para mostrar. Las llamadas a la API aún usan un token de acceso separado. Technical concept or control: OpenID Connect (OpenID Connect). Why it fits: Úselo para inicio de sesión compartido cuando una aplicación necesite reclamos de identidad estándar de un Proveedor de OpenID. Do not use it when: Nunca aceptes un ID Token sin todas las verificaciones requeridas. No lo uses como token de acceso a la API ni trates los hechos de identidad como permisos por sí mismos. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary): Un documento formal aún puede ser un borrador, un release candidate o una versión final. Revisa su estado y la compatibilidad con tu navegador o plataforma. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.