Cloudflare ha introducido una nueva forma de autorizar aplicaciones OAuth sin obligar al usuario a aceptar todos los permisos solicitados. Los desarrolladores pueden marcar determinados ámbitos de acceso como opcionales y, durante la autorización, cada persona puede desactivar aquellos que no necesita. Los permisos considerados obligatorios continúan siendo necesarios para completar el proceso.
El cambio responde al crecimiento de las integraciones de terceros dentro de la plataforma. Según Cloudflare, desde junio los desarrolladores han creado varios millares de aplicaciones OAuth, que ya acumulan más de un millón de autorizaciones. Este sistema se utiliza en integraciones de software como servicio, herramientas internas, interfaces de línea de comandos y agentes.
Una autorización ajustada a cada tarea
Hasta ahora, una aplicación podía pedir solo una parte de los permisos configurados por su desarrollador, pero el usuario no tenía margen para reducirlos desde la pantalla de consentimiento. Las únicas opciones eran aceptar la petición completa o rechazarla. La nueva función añade una elección intermedia: conservar los accesos imprescindibles y retirar los opcionales.
La selección se aplica exclusivamente a los ámbitos pedidos en esa autorización concreta, no a toda la lista de capacidades configurada para la aplicación. Si un cliente dispone de cuatro permisos, pero solicita dos para una operación determinada, la pantalla solo evalúa esos dos. Así se evita presentar una lista extensa de accesos que no intervienen en la tarea actual.
Este enfoque resulta especialmente relevante para los servidores MCP y los agentes capaces de ejecutar acciones diferentes. Un agente puede estar preparado para trabajar con numerosos productos de Cloudflare, aunque una tarea concreta solo requiera modificar un script. El usuario puede impedir que reciba acceso adicional, siempre que el desarrollador lo haya definido como opcional.
Compatibilidad con las aplicaciones existentes
Cloudflare ha construido la función sobre una posibilidad ya contemplada por OAuth: el servidor de autorización puede conceder un conjunto de permisos menor que el solicitado. Los propietarios de cada cliente deben decidir cuáles son obligatorios y cuáles opcionales. Si la aplicación no activa esta configuración, su flujo de consentimiento permanece sin cambios.
También se mantiene un comportamiento conservador de partida: la pantalla propone conceder todos los ámbitos pedidos y es el usuario quien desmarca los opcionales. Cuando una autorización no solicita ninguno de estos últimos, la experiencia continúa siendo la habitual. Las aplicaciones, por su parte, deben estar preparadas para funcionar correctamente con una concesión más limitada.
En términos prácticos, el cambio favorece el principio de mínimo privilegio: una integración puede recibir solo el acceso necesario para completar una acción, reduciendo las consecuencias de un error o de un uso indebido. La mejora complementa otras medidas de aislamiento de la plataforma, como el refuerzo de Cloudflare Workers frente a ataques remotos.
Más permisos específicos en camino
La utilidad de esta selección dependerá de que existan ámbitos suficientemente precisos y de que los desarrolladores clasifiquen bien cada acceso. Cloudflare afirma que ampliará durante las próximas semanas sus roles de cuenta y de zona para cubrir casi todos sus productos, con más roles para tokens de API, opciones de pertenencia a cuentas y ámbitos OAuth.
La compañía no concreta en el anuncio el calendario de incorporación de cada producto. Mientras se completa esa expansión, la novedad ya permite diseñar autorizaciones más ajustadas: la aplicación solicita las capacidades pertinentes y el usuario conserva la última palabra sobre las opcionales.
