OAuth, tokens de API y cookies pegadas: qué permite hacer realmente cada uno
Marta Kowalczyk
Responsable de Operaciones de Agencia
Toda herramienta que toca tus cuentas publicitarias tuvo que entrar por algún sitio, y solo hay tres puertas. La diferencia entre oauth tokens y cookies cuentas publicitarias decide qué alcanza esa herramienta, qué puede hacer en el día malo y con qué rapidez puedes dejarla fuera. Casi nadie mira por qué puerta entró una herramienta antes de conectarla, y luego la juzga por el panel. Este artículo es la parte aburrida de debajo: qué concede realmente cada forma de acceso, cómo se recupera, y por qué la manera en que el software llega a tu máquina forma parte de la misma conversación.
Respuesta rápida: OAuth entrega a una aplicación un token con alcance limitado y revocable, y nunca revela tu contraseña. Un token de API en crudo es una llave sin registro de quién la tiene. Una cookie de sesión pegada no es acceso: es tu sesión duplicada, con todos tus permisos y sin revocación individual. Alrededor de las tres está la cuestión de qué se ejecuta en tu máquina: todo componente que se actualiza solo hereda los permisos que le diste, así que la pregunta útil no es «¿confío en este proveedor?» sino «¿hasta dónde llega si una actualización hace algo que no esperaba?».
Las tres puertas
1. OAuth: delegado, acotado, revocable
Un flujo OAuth tiene una forma que vale la pena reconocer, porque la forma es la propiedad de seguridad.
- La herramienta te envía al dominio de la plataforma para iniciar sesión. La contraseña la escribes en la plataforma, no en la herramienta.
- La plataforma te muestra una lista con nombre de los permisos que pide: gestionar campañas, leer informes, listar activos de empresa.
- Apruebas, y la plataforma emite un token para la herramienta. El token lleva esos permisos y nada más.
- La concesión aparece en tu cuenta, bajo aplicaciones conectadas o integraciones de empresa, con un nombre.
- Puedes eliminarla desde esa pantalla cuando quieras, y la herramienta pierde el acceso en su siguiente llamada.
Cuatro de esos cinco pasos existen para tu beneficio, no para el de la herramienta. La contraseña no sale de la plataforma. La lista de permisos queda escrita. La concesión queda inventariada. La eliminación es una pantalla y no perturba nada más.
2. Un token de API en crudo: una llave sin registro de quién la tiene
Algunas herramientas se saltan el flujo y te piden que generes un token y lo pegues. El token puede tener alcance — eso depende de cómo se emitió — pero tres de las cinco propiedades anteriores desaparecen.
No hay pantalla de consentimiento que registre lo que se pidió. Normalmente no hay entrada en la lista de aplicaciones conectadas, así que seis meses después nada dentro de tu cuenta te dice que esa herramienta existe. Y la revocación deja de ser una acción por herramienta: tienes que volver a donde se emitió el token y anularlo allí, lo que en la práctica significa acordarte de que lo emitiste.
Un token pegado no es automáticamente peligroso. Está sin inventariar, que es un problema distinto y más lento. Los inventarios que dependen de la memoria se deshacen, y el deterioro es invisible hasta que una auditoría o un incidente obliga a hacer la pregunta.
3. Una cookie de sesión pegada: tú, duplicado
Esta merece una mirada seria, y se trata con más profundidad en nuestro artículo sobre seguridad de tokens y cookies de Facebook.
Una cookie de sesión es lo que guarda tu navegador después de que inicias sesión. No es un permiso delegado: es la sesión autenticada. Quien tiene una copia es indistinguible de ti — los mismos permisos, el mismo alcance — mientras la sesión siga viva.
Eso significa que no hay alcance que estrechar, porque una sesión no tiene alcance. No hay entrada en la pantalla de permisos, porque no se concedió nada. Y no hay revocación individual, porque no hay nada individual que revocar: la única palanca es cerrar la sesión, lo que te desconecta de todos los demás sitios donde la estabas usando.
Las tres puertas, lado a lado
| Concesión OAuth | Token de API en crudo | Cookie de sesión pegada | |
|---|---|---|---|
| Qué recibe la herramienta | Un token acotado | Una llave, con alcance o sin él | Una copia de tu sesión viva |
| ¿Ve tu contraseña? | No | No | No, pero no la necesita |
| ¿Aparece en aplicaciones conectadas? | Sí, con su nombre | Normalmente no | No |
| ¿Se pueden estrechar los permisos? | Sí, en el consentimiento | A veces, al emitirlo | No |
| Cómo lo recuperas | Eliminas la aplicación, una pantalla | Anulas el token donde se emitió | Cierras la sesión, en todas partes |
| Qué hace un cambio de contraseña | Nada, la concesión sigue | Nada | La termina, junto con tus otras sesiones |
| Hasta dónde llega | Solo a los permisos aprobados | A aquello con lo que se emitió | A todo lo que alcanzas tú |
Nada de esto dice qué herramientas son buenas. Mucho software competente pide una cookie pegada porque la plataforma que automatiza nunca publicó una API. El punto es que las tres filas se comportan de forma distinta en el peor día, y conviene saber en qué fila estás antes de que llegue.
Qué limita realmente un alcance
«Token con alcance limitado» se usa como tranquilizante, así que conviene ser preciso sobre qué cubre esa tranquilidad.
Un alcance publicitario suele permitir leer datos de rendimiento, crear y editar campañas y enumerar los activos de empresa que aprobaste. No permite cambiar tu contraseña, añadir un método de acceso, leer tus mensajes privados ni alcanzar un producto distinto que uses con la misma cuenta. Un token emitido para una plataforma no significa nada en otra.
Lo que el alcance no hace es volver inofensivo el acceso. Un token con permisos de gestión de campañas puede gastar dinero, porque gastar dinero es lo que hace la gestión de campañas. El alcance reduce el radio de acción; no lo elimina. La expectativa razonable es «más pequeño que la cuenta y eliminable desde una pantalla», no «no puede salir nada mal».
Por eso también la lista de permisos de la pantalla de consentimiento merece dos segundos. Si una herramienta de informes pide permisos de gestión de activos, la desproporción es visible ahí, una sola vez, y nunca después.
La revocación es la parte que todo el mundo se salta
La higiene de accesos falla al final, no al principio. Conceder es un acto deliberado con un botón; retirar es una tarea que nadie agenda.
Tres hábitos cubren casi todo.
Aprende el camino antes de necesitarlo. En la mayoría de plataformas, las aplicaciones conectadas viven en los ajustes de seguridad o de empresa, listadas por nombre y con la fecha de aprobación. Abre esa pantalla hoy, mientras no pasa nada, y léela. La lista suele ser más larga de lo que nadie espera, y algunas entradas pertenecerán a herramientas que se evaluaron una vez y nunca se adoptaron.
Revoca a la salida, no «en algún momento». Cuando se abandona una herramienta, sale un colaborador o termina una prueba, la concesión debe irse esa misma semana. Una agencia sobre la que escribimos construyó toda la rutina de salida exactamente alrededor de esto y la redujo a un solo clic, que es el instinto correcto: si es una molestia, no va a pasar.
Recuerda que un cambio de contraseña no es una revocación. Termina las sesiones, así que sí mata las cookies pegadas. Normalmente no toca las concesiones OAuth ni los tokens emitidos, y es deliberado: de lo contrario cada rotación de contraseña rompería todas las integraciones de las que dependes. Dos mecanismos distintos, dos palancas distintas, y confundirlos es la manera en que «lo rotamos todo» resulta haber rotado uno de los tres.
Por qué el canal de actualización forma parte del cuadro
Ahora la parte que no tiene nada que ver con la publicidad y vale para todo lo que instalas.
Cualquier componente que se actualiza solo tiene un acuerdo permanente con tu máquina: ejecutar lo que la cadena de distribución envíe a continuación, sin preguntar. Ese acuerdo no es un fallo. Es la razón por la que las correcciones de seguridad te llegan en horas en vez de trimestres, y todo producto serio lo adopta: navegadores, gestores de contraseñas, complementos de entornos de desarrollo, el sistema operativo debajo de todos ellos.
El coste es que la confianza se concede por adelantado. Así que la pregunta útil sobre un componente instalado nunca es «¿confío en este proveedor?» — eso ya lo respondiste al instalarlo — sino ¿hasta dónde llega este componente si una actualización hace algo que no esperaba?
La respuesta tiene siempre la misma forma: exactamente hasta donde le permitiste llegar, y nada más.
- Un complemento con permiso para leer y modificar datos en todos los sitios puede leer y modificar datos en todos los sitios, incluidas las páginas donde tienes la sesión iniciada.
- Un complemento acotado a un dominio queda confinado a ese dominio.
- Un componente que gestiona secretos de alto valor e irreversibles puede alcanzar esos secretos, porque ese es su trabajo.
- Una integración de servidor a servidor sin presencia local no tiene nada que alcanzar en tu máquina, porque no se instaló nada.
Esa última línea no es un alarde, es una forma. Y es también la razón por la que el consejo práctico se reduce a segmentar en vez de elegir marca:
- Mantén los secretos irreversibles fuera de entornos compartidos. Frases de recuperación, claves privadas, credenciales de administración e instrumentos de pago no pertenecen al mismo perfil de navegador que aloja complementos genéricos. «Irreversible» es la palabra operativa: una sesión robada se cierra, una clave privada filtrada no se recupera.
- Lee la petición de permisos esa única vez que aparece. «Leer y modificar todos tus datos en todos los sitios» es una frase real con un significado real, y se muestra exactamente una vez.
- Prefiere accesos revocables y acotados a las credenciales almacenadas, siempre que la plataforma te dé la opción.
- Mantén corta la lista de lo instalado. Cada complemento es un acuerdo permanente. Diez complementos son diez acuerdos.
- Da por hecho que cualquier componente con actualización automática acabará entregando algo inesperado, y diseña para que la frase termine con «y llega hasta aquí, y no más allá».
Ninguno de estos cinco pasos te pide adivinar qué proveedor tendrá un mal trimestre. Ese es el punto: las predicciones no son fiables y la segmentación sí.
Dos capas, dos oficios
Circula la idea de que los navegadores antidetección y las plataformas de campañas son respuestas rivales a una misma pregunta. No lo son: responden a preguntas distintas, y los stacks que funcionan suelen contener ambos.
Los navegadores antidetección como AdsPower resuelven acceso e identidad. Perfiles aislados que no se ven entre sí, huellas del navegador, proxy asignado por perfil y acceso del equipo sin pasarse contraseñas. Si gestionas muchas cuentas, esto es infraestructura de verdad, y no es algo que una plataforma de campañas proporcione.
Las plataformas de campañas como Wevion resuelven lo que ocurre una vez dentro. Lanzamiento y medición en seis plataformas publicitarias — Meta, Google, TikTok, Taboola, Snapchat y Outbrain — reglas de presupuesto en cinco de ellas, comparación lado a lado en cuatro, pausa y activación a nivel de conjunto de anuncios y de anuncio en tres, y reversión y relanzamiento en Meta.
Capas distintas del mismo stack. El perfil te mete en la cuenta; luego empieza el trabajo.
Conectar una cuenta publicitaria a una plataforma de campañas no elimina la capa de navegador de tu montaje ni te pide migrar nada. Abres el perfil como siempre, conectas la cuenta una vez desde la pantalla de consentimiento de la plataforma, y a partir de ahí el lanzamiento, las reglas y el margen viven en un panel en lugar de seis pestañas. La versión larga de este argumento está en Wevion y los navegadores antidetección.
Dónde está Wevion, arquitectónicamente
Un solo párrafo, porque es un hecho sobre nuestra construcción y no un veredicto sobre la de nadie.
Wevion se conecta a las cuentas publicitarias mediante OAuth contra las API oficiales. Te autenticas en el dominio de la plataforma, nosotros recibimos un token acotado, ese token se cifra en reposo, y puedes eliminar la concesión desde los ajustes de la plataforma cuando quieras, sin tocar tu contraseña ni ninguna otra integración. No hay ningún componente nuestro instalado en tu máquina, así que no hay ningún canal de actualización nuestro en tu cuadro de riesgos. La mecánica está escrita al detalle en cómo se conecta Wevion.
Lo que eso no significa: no es la promesa de que una cuenta nunca será restringida. Las cuentas se restringen también en las API oficiales, por razones de política y de calidad que no tienen que ver con cómo se autenticó una herramienta, y quien ha comprado medios a volumen lo sabe. Los hábitos más generales a nivel de cuenta están recogidos en prácticas de seguridad para cuentas de Meta.
Conclusión
Tres puertas, y no son intercambiables. OAuth entrega un token acotado, con nombre y revocable, y mantiene tu contraseña en la plataforma. Un token en crudo funciona pero no deja rastro de sí mismo, así que sobrevive en tu montaje mucho después de que olvidaste que existe. Una cookie de sesión pegada no es una concesión en absoluto: es tu sesión duplicada, y la única forma de recuperarla es cerrar la sesión para todos, tú incluido.
Alrededor de las tres está la cuestión de qué se ejecuta en tu máquina. Todo componente con actualización automática es un acuerdo permanente, y la manera de estar tranquilo con ese acuerdo no es predecir proveedores sino hacer aritmética de radio de acción: conceder estrecho, mantener los secretos irreversibles en su propio entorno, mantener corta la lista de instalados, y conocer el camino de revocación antes de la mañana en que lo necesites.
Empieza la prueba gratuita de 14 días de Wevion y conecta una cuenta publicitaria desde la pantalla de consentimiento de la plataforma. El resto de tu stack se queda exactamente donde está.
Lecturas relacionadas
- Cómo se conecta Wevion: OAuth, tokens cifrados y por qué nunca pedimos tu contraseña
- Seguridad de tokens y cookies de Facebook: lo que todo anunciante debería saber
- Seguridad de las cuentas de Meta en 2026: las prácticas que protegen de verdad
- Wevion y los navegadores antidetección: dos capas del mismo stack
Preguntas frecuentes
The Ad Signal
Insights semanales para media buyers que no adivinan. Un email. Solo señal.
Artículos relacionados
Cómo Wevion Conecta con Cuentas de Meta Ads: OAuth, Tokens Cifrados y Por Qué Nunca Pedimos tu Contraseña
Antes de conectar una herramienta de ads a una cuenta activa, deberías saber exactamente cómo entra. Aquí tienes el recorrido completo de cómo Wevion conecta con Meta: OAuth en el dominio de Meta, un token cifrado y limitado, aprobación previa en cada cambio y nunca tu contraseña.
Seguridad de Tokens y Cookies de Facebook: Lo Que Todo Anunciante Debe Saber
Tu token de acceso de Facebook no es solo una cadena de caracteres — es una llave que desbloquea toda tu operación publicitaria. Cuando se lo entregas a una herramienta no verificada, estás cediendo el control de cada campaña, cada presupuesto y cada dólar en tu cuenta publicitaria.
Seguridad de Cuentas de Meta Ads en 2026: Las Prácticas Que De Verdad Te Protegen
Casi todos los consejos sobre el ban de cuentas son fatalismo basado en la suerte o promesas falsas. Este es el playbook preventivo que de verdad mueve las probabilidades en 2026: respeta los límites documentados de Meta, mantén a un humano en cada cambio, nunca automatices el dashboard y estructúrate para sobrevivir antes de necesitarlo.