RFC9728 · Метаданные защищённого ресурса OAuth 2.0

{
  "id": "RFC9728",
  "number": 9728,
  "title_en": "OAuth 2.0 Protected Resource Metadata",
  "title_ru": "Метаданные защищённого ресурса OAuth 2.0",
  "summary_ru": "RFC 9728 определяет формат метаданных, позволяющий клиентам и серверам авторизации OAuth 2.0 получать сведения для взаимодействия с защищённым ресурсом. Метаданные публикуются как JSON-документ по адресу, выводимому из идентификатора ресурса; стандартный путь образуется вставкой /.well-known/oauth-protected-resource между компонентом хоста и компонентами пути и запроса, если они присутствуют. Документ может описывать серверы авторизации, области доступа, способы передачи токенов, открытые ключи и поддержку механизмов mutual-TLS и DPoP; предусмотрены также подписанные метаданные в JWT. Параметр resource_metadata заголовка WWW-Authenticate позволяет сообщать клиенту адрес метаданных и сигнализировать об их возможном изменении.",
  "purpose_ru": "Стандартизировать публикацию, получение и проверку сведений о конфигурации защищённого ресурса OAuth 2.0, необходимых клиентам и серверам авторизации для взаимодействия с ним.",
  "use_ru": "Применять при проектировании серверов ресурсов, клиентов и серверов авторизации OAuth 2.0, которым требуется обнаруживать возможности ресурса и связанные с ним серверы авторизации, в том числе без предварительного знания сервера ресурсов клиентом. Для нескольких ресурсов на одном хосте публиковать отдельные документы по адресам, выведенным из их идентификаторов. При получении метаданных проверять точное совпадение значения resource по правилам раздела 3.3, TLS-сертификат, а для подписанных метаданных — подпись и доверие к издателю. При динамическом обнаружении учитывать SSRF и фишинг; для ограничения повторного использования токена другим ресурсом документ рекомендует токены с ограниченной аудиторией и Resource Indicators из RFC 8707.",
  "full_translation_path": "translations/rfc9728.html",
  "full_translation_checked_at": "2026-10-19",
  "full_translation_source_sha256": "b65bcd0d9daf90fd7006a42cf48e0ac3ba24b7f5637d5197f2de41c6b91c8a89",
  "architect_note_ru": "Статус — Proposed Standard, документ потока IETF на пути стандартизации; по предоставленным метаданным не обновляет и не заменяет другие RFC и сам не обновлён и не заменён. Дополняет механизм метаданных сервера авторизации из RFC 8414, в том числе параметром protected_resources. Обнаружение исходного адреса ресурса, установление идентификатора клиента на сервере авторизации и универсальный способ безопасного выбора подходящего сервера авторизации находятся вне области спецификации. Наличие authorization_servers само по себе не решает задачу доверия; списки серверов авторизации и ресурсов могут быть неполными. Подписанные метаданные позволяют учитывать издателя при принятии решений о доверии, но порядок таких решений документ не определяет.",
  "topics_ru": [],
  "translation_state": "reviewed",
  "verification_level": "primary_source_reviewed",
  "verification_level_ru": "Проверено по первичному тексту и реестру RFC Editor",
  "verification_note_ru": "Полный текст и карточка независимо сверены с первоисточником. 2026-10-19",
  "abstract_en": "This specification defines a metadata format that an OAuth 2.0 client or authorization server can use to obtain the information needed to interact with an OAuth 2.0 protected resource.",
  "authors": [
    "M.B. Jones",
    "P. Hunt",
    "A. Parecki"
  ],
  "organizations": [],
  "publication_date": "2025-04-01",
  "current_status": "PROPOSED STANDARD",
  "current_status_ru": "Предлагаемый стандарт",
  "publication_status": "PROPOSED STANDARD",
  "publication_status_ru": "Предлагаемый стандарт",
  "lifecycle": "active",
  "lifecycle_ru": "Действующий",
  "stream": "IETF",
  "stream_ru": "IETF",
  "area": "sec",
  "area_ru": "Безопасность",
  "working_group": "oauth",
  "source_draft": "draft-ietf-oauth-resource-metadata-13",
  "page_count": 25,
  "doi": "10.17487/RFC9728",
  "keywords": [
    "OAuth",
    "Discovery",
    "Metadata",
    "Discovery Metadata",
    "Configuration Information",
    "Resource Server",
    "Protected Resource",
    "Resource Identifier",
    "JavaScript Object Notation",
    "JSON",
    "JSON Web Token",
    "JWT"
  ],
  "formats": [
    "HTML",
    "TXT",
    "PDF",
    "XML"
  ],
  "relations": {
    "obsoletes": [],
    "obsoleted_by": [],
    "updates": [],
    "updated_by": [],
    "is_also": [],
    "see_also": []
  },
  "links": {
    "info": "https://www.rfc-editor.org/info/rfc9728/",
    "html": "https://www.rfc-editor.org/rfc/rfc9728.html",
    "txt": "https://www.rfc-editor.org/rfc/rfc9728.txt",
    "datatracker": "https://datatracker.ietf.org/doc/rfc9728/"
  }
}