OAuth 2.1 è un protocollo di autorizzazione delegata: consente a un'applicazione di accedere, per conto di un utente, a risorse ospitate da un altro servizio, senza mai trasmettere la password di tale utente. Al suo posto, il servizio che detiene le risorse rilascia un token di accesso (access token) con durata limitata e ambito ristretto, che l'applicazione presenta a ogni richiesta.
OAuth 2.1 è un consolidamento di OAuth 2.0: riunisce le best practice di sicurezza accumulate dal 2012 e ne rende obbligatorie alcune. Tra queste, l'uso sistematico di PKCE (Proof Key for Code Exchange) per il flusso authorization code, l'eliminazione dei flussi considerati insicuri (il flusso implicito e il flusso con password), nonché regole rigorose sulla corrispondenza esatta degli URL di reindirizzamento.
Il meccanismo si basa sugli scope (perimetri di autorizzazione) che limitano con precisione ciò che il token consente, e sui refresh token (refresh tokens) che rinnovano l'accesso senza che l'utente debba autenticarsi nuovamente. È lo standard che mette in sicurezza i pulsanti “Accedi con…” e, più in generale, l'accesso delle applicazioni di terze parti alle API REST.
eyeot implementa OAuth 2.1 con PKCE per autenticare gli agenti e le applicazioni che interagiscono con la sua interfaccia IA (MCP), accanto alla gestione delle identità fornita da SCIM. Questo approccio garantisce che l'accesso delegato resti revocabile e confinato alle operazioni esplicitamente autorizzate.