OAuth 2.0 ekosisteminde token introspection, bir kaynağın (API) elindeki erişim token’ını yetkilendirme sunucusuna sorup ‘bu token hâlâ geçerli mi, kime ait, hangi kapsamları taşıyor’ sorularının yanıtını almasıdır. Revocation ise bir token’ın tanımlı geçerlilik süresi dolmadan, örneğin kullanıcı çıkış yaptığında veya bir cihaz kaybolduğunda etkin biçimde iptal edilmesidir. İkisi birlikte, token’ların yaşam döngüsünü kontrol altında tutar.

Introspection bir token’ın hâlâ geçerli olup olmadığını sorar; revocation ise onu daha süresi dolmadan geri çeker.

Introspection Nasıl Çalışır?

RFC 7662 ile standartlaştırılan introspection, kaynak sunucunun token’ı yetkilendirme sunucusundaki özel bir uç noktaya göndermesiyle işler. Yetkilendirme sunucusu yanıtında en azından ‘active’ alanını döner; token geçerliyse bununla birlikte sahibini, kapsamlarını (scope), son kullanma zamanını ve istemci kimliğini de bildirebilir. Böylece kaynak, kararı kendi başına tahmin etmek yerine tek yetkili kaynaktan güncel durumu öğrenir.

Bu model özellikle opak (kendi içinde bilgi taşımayan, sadece rastgele bir dize olan) token’lar için gereklidir, çünkü kaynak token’a bakarak bir şey anlayamaz ve mutlaka sormak zorundadır. Introspection, bir API güvenliği mimarisinde yetkilendirme kararının merkezîleşmesini sağlar; her kaynağın kendi doğrulama mantığı yerine ortak bir otoriteye danışması tutarlılığı artırır.

Revocation ve JWT İkilemi

Revocation, RFC 7009 ile tanımlanır ve istemcinin bir erişim ya da yenileme token’ını yetkilendirme sunucusuna iptal ettirmesini sağlar. Opak token’larda iptal kolaydır çünkü sunucu kendi kaydını geçersiz işaretler. Ancak JSON Web Token gibi kendi kendini doğrulayan token’larda durum çetrefillidir: JWT imzası geçerli olduğu sürece kaynak sunucular onu, süresi dolana kadar kabul etmeye eğilimlidir ve merkezî bir ‘iptal edildi’ bilgisi taşımaz.

Bu yüzden JWT kullanan sistemlerde iptali gerçekten uygulamak için ek mekanizmalar gerekir: token ömürlerini kısa tutmak, iptal edilenleri bir kara listede tutmak ya da kritik kararlar için yine introspection’a başvurmak. Tasarım, performans (yerel doğrulama) ile anlık iptal ihtiyacı arasında bir denge kurmayı zorunlu kılar.

Neden Önemli?

Introspection ve revocation olmadan, çalınan ya da kötüye kullanılan bir token süresi dolana kadar geçerli kalır ve bu da saldırgana geniş bir zaman penceresi bırakır. Bu iki mekanizma, ele geçirilen bir kimliğin etkisini anında kesme yeteneği verir.

• Opak token’larda geçerliliği introspection uç noktasıyla merkezî olarak doğrulayın
• Erişim token’larının ömrünü kısa tutup yenileme token’larıyla dengeleyin
• JWT kullanıyorsanız iptal için kara liste veya kısa ömür stratejisi tanımlayın
• Çıkış, parola değişimi ve cihaz kaybı olaylarında ilgili token’ları revoke edin

Token yaşam döngüsünün doğru kurgulandığını ve iptal edilen kimliklerin gerçekten reddedildiğini doğrulamak, OAuth 2.0 tabanlı sistemlerin en sık atlanan güvenlik detaylarındandır; Privia Security’nin altyapı ve mimari gözden geçirme hizmeti bu akışları uçtan uca inceler.