Acciones vs Reglas en Auth0

Curso de Auth0: Implementación de Autenticación y Seguridad Web

Contenido del curso

Introducción a Auth0

Conexiones sociales

Conexiones sin password

Protegiendo una API

Auth0 SDKs

Administración de usuarios

Reglas y Acciones en Auth0

Multifactor Authentication

Casos en producción

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0010:25

Acciones vs Reglas en Auth0

Curso de Auth0: Implementación de Autenticación y Seguridad Web

Clase 20 de 28

Clase 20 / 28

Recursos

Las acciones en Auth0 son la forma moderna de personalizar flujos de autenticación con código JavaScript reutilizable. Aprenderás a implementar una acción que reemplaza el avatar del usuario por uno de Gravatar, comparándola con el enfoque tradicional de reglas para que entiendas cuándo usar cada una.

¿Qué son las acciones en Auth0 y en qué flujos se ejecutan?

Las acciones son fragmentos de código que se disparan en momentos específicos del ciclo de autenticación. A diferencia de las reglas, no viven solo en el login.

Desde el menú Actions > Flows puedes elegir entre varios disparadores [1:00]:

Login, cuando un usuario inicia sesión.
Machine to Machine, para autenticación entre servicios.
Pre User Registration, antes de registrar un usuario.
Post User Registration, después del registro.
Change Password, cuando se actualiza una contraseña.
Send Phone Message, al enviar un SMS.

¿Cuál es la diferencia entre reglas y acciones en Auth0? Las reglas solo corren en el flujo de login y se ejecutan siempre antes que las acciones. Las acciones funcionan en múltiples flujos y permiten orden granular arrastrando bloques en un diagrama visual.

¿Cómo se construye una acción personalizada paso a paso?

Dentro del flujo de Login creas una acción custom, eliges el runtime (Node 16 recomendado) y defines el trigger [1:45]. El editor que aparece es notablemente más potente que el de las reglas: incluye autocompletado, linting integrado, almacenamiento de secretos por acción y soporte para cualquier paquete público de npm.

¿Cómo accedo al usuario dentro de una acción?

La firma de la función expone solo dos objetos: event y api [3:00]. No existen user, context ni callback como en las reglas. Para leer el correo del usuario, accedes a event.user.email.

El ejemplo replica la lógica de Gravatar usada antes con reglas, pero con sintaxis moderna:

javascript const crypto = require('crypto');

exports.onExecutePostLogin = async (event, api) => { const [emailName, emailHost] = event.user.email.split('@'); let email = event.user.email;

if (emailName?.includes('+')) { const [name] = emailName.split('+'); email = ${name}@${emailHost}; }

if (email?.endsWith('@gmail.com')) { const hash = crypto.createHash('md5').update(email).digest('hex'); const gravatarUrl = https://gravatar.com/avatar/${hash}; api.idToken.setCustomClaim('picture', gravatarUrl); } };

Fíjate en dos detalles: el módulo crypto se importa fuera de la función como en código Node tradicional, y usas optional chaining (?.) y nullish coalescing, algo que las reglas no permiten por su versión antigua de Node [4:30].

¿Cómo modifico el ID token desde una acción?

Aquí está el cambio conceptual más importante. En las reglas mutabas directamente el objeto user.picture. En las acciones usas api.idToken.setCustomClaim('picture', valor) [6:15]. El objeto api expone métodos distintos según el flujo, porque cada flujo tiene capacidades diferentes.

¿Cómo pruebo y despliego una acción en Auth0?

El editor incluye un panel de pruebas con un event simulado que puedes editar. Cambias el correo del usuario de prueba, ejecutas la acción y revisas si hubo errores [7:30]. Si todo pasa, le das Deploy y luego arrastras la acción al diagrama del flujo.

Ese diagrama es la verdadera ventaja: puedes encadenar varias acciones en el orden exacto que quieras, una sobre otra, creando un pipeline de autenticación visual.

¿Las reglas y las acciones se pueden ejecutar a la vez? Sí, pero las reglas siempre corren primero. Si ambas hacen lo mismo, desactiva una para evitar trabajo duplicado. La recomendación oficial es resolver todo con acciones cuando sea posible.

¿Cuándo conviene usar reglas en lugar de acciones?

Las acciones son el camino moderno, pero tienen límites. Algunas integraciones muy específicas todavía se resuelven mejor en reglas porque ofrecen más libertad de edición sobre el objeto user y el context. Si te topas con un caso que las acciones no soportan, revisa si una regla cubre ese hueco.

Ventajas concretas de las acciones frente a reglas:

Acceso a cualquier paquete público de npm, sin la lista limitada de las reglas.
Runtime de Node moderno, con sintaxis ES actual.
Secretos almacenados por acción, no de forma global.
Editor con autocompletado y validación en tiempo real.
Ejecución en múltiples flujos, no solo en login.

Después de aplicar la acción y desactivar la regla equivalente, al iniciar sesión el avatar de Gravatar sigue cargando correctamente. Misma funcionalidad, código más limpio.

Reto: notificación a Slack en el registro de usuarios

Crea una acción personalizada que se dispare en el flujo Post User Registration y envíe una notificación a un canal de Slack cada vez que alguien se registre. Hay un artículo en el blog oficial de Auth0 que documenta el patrón con webhooks, así que el camino está trazado. ¿Cómo resolverías el manejo del webhook URL como secreto dentro de la acción? Cuéntame en los comentarios.

Resumen

¿Qué son las acciones en Auth0 y en qué flujos se ejecutan?

Las acciones son fragmentos de código que se disparan en momentos específicos del ciclo de autenticación. A diferencia de las reglas, no viven solo en el login.

Desde el menú Actions > Flows puedes elegir entre varios disparadores [1:00]:

Login, cuando un usuario inicia sesión.
Machine to Machine, para autenticación entre servicios.
Pre User Registration, antes de registrar un usuario.
Post User Registration, después del registro.
Change Password, cuando se actualiza una contraseña.
Send Phone Message, al enviar un SMS.

¿Cuál es la diferencia entre reglas y acciones en Auth0? Las reglas solo corren en el flujo de login y se ejecutan siempre antes que las acciones. Las acciones funcionan en múltiples flujos y permiten orden granular arrastrando bloques en un diagrama visual.

¿Cómo se construye una acción personalizada paso a paso?

¿Cómo accedo al usuario dentro de una acción?

La firma de la función expone solo dos objetos: event y api [3:00]. No existen user, context ni callback como en las reglas. Para leer el correo del usuario, accedes a event.user.email.

El ejemplo replica la lógica de Gravatar usada antes con reglas, pero con sintaxis moderna:

javascript const crypto = require('crypto');

exports.onExecutePostLogin = async (event, api) => { const [emailName, emailHost] = event.user.email.split('@'); let email = event.user.email;

if (emailName?.includes('+')) { const [name] = emailName.split('+'); email = ${name}@${emailHost}; }

¿Cómo modifico el ID token desde una acción?

¿Cómo pruebo y despliego una acción en Auth0?

Ese diagrama es la verdadera ventaja: puedes encadenar varias acciones en el orden exacto que quieras, una sobre otra, creando un pipeline de autenticación visual.

¿Las reglas y las acciones se pueden ejecutar a la vez? Sí, pero las reglas siempre corren primero. Si ambas hacen lo mismo, desactiva una para evitar trabajo duplicado. La recomendación oficial es resolver todo con acciones cuando sea posible.

¿Cuándo conviene usar reglas en lugar de acciones?

Ventajas concretas de las acciones frente a reglas:

Acceso a cualquier paquete público de npm, sin la lista limitada de las reglas.
Runtime de Node moderno, con sintaxis ES actual.
Secretos almacenados por acción, no de forma global.
Editor con autocompletado y validación en tiempo real.
Ejecución en múltiples flujos, no solo en login.

Después de aplicar la acción y desactivar la regla equivalente, al iniciar sesión el avatar de Gravatar sigue cargando correctamente. Misma funcionalidad, código más limpio.

Reto: notificación a Slack en el registro de usuarios

Introducción a Auth0

Qué es Auth0 y cómo difiere de OAuth

Qué es Auth0 y cómo gestiona identidades

Implementación y Personalización de Universal Login con Auth0

Autenticación Rápida con SDK de Next.js y Auth0

Conexiones sociales

Implementación de Login Social con GitHub en Auth0

Login con Twitch usando Auth0

Login con Discord usando OAuth en Auth0

Conexiones sin password

Login con SMS usando Auth0 y Twilio

Passwordless con email en Auth0

Protegiendo una API

Cómo usar el Auth0 Management API

Registrar una API externa en Auth0

Protección de Endpoints con Auth0 y Access Tokens

Auth0 SDKs

Integración de Auth0 SDK en Aplicaciones React

Implementación de SDK en Express para Autenticación con Auth0

Autenticación Machine to Machine con Express y Auth0

Administración de usuarios

Gestão de utilizadores no painel Auth0

Roles y permisos en Auth0 paso a paso

Reglas y Acciones en Auth0

Reglas vs acciones en Auth0

Implementación de Gravatar en Auth0 para Perfiles con Alias de Gmail

Acciones vs Reglas en Auth0

Multifactor Authentication

Implementación de Multi-Factor Authentication con Auth0

Login sin contraseña con WebAuthn y FIDO

Implementación de One-Time Password en Auth0

Casos en producción

Monitoreo de logs y amenazas en Auth0

Integración de Firebase Authentication y Auth0 en Next.js

Autenticación Firebase con Auth0 y custom tokens

Reglas de Firestore basadas en custom claims

Checklist de Auth0 antes de salir a producción

Acciones vs Reglas en Auth0