Scopes

Scope	Concede	Requisito
openid	El sub de la persona. Siempre presente, no se puede desmarcar	—
profile	Su nombre	—
email	Su correo y email_verified	—
invoices:read	Leer todas sus facturas, no solo las tuyas	—
invoices:write	Escribir facturas atribuidas a tu marca verificada	Dominio verificado
offline_access	Un refresh token de noventa días	—

Leer y escribir no son una escala

Una tienda escribe y nunca lee. Una gestoría de IRPF lee y nunca escribe. Ninguno de los dos implica al otro, y conceder ambos a un mismo cliente es una decisión explícita al registrarlo.

Por qué escribir exige un dominio

invoices:write va atado a tu marca: tu nombre aparece en la lista de gastos de la persona como comercio verificado, y el consentimiento dice «quiere registrar facturas a su nombre». La única defensa de quien lo lee es ese nombre, así que el nombre tiene que significar algo.

Sin la comprobación, cualquiera podría darse de alta como «Amazon» y escribir facturas atribuidas a Amazon en la cuenta de quien consintiera.

La verificación se comprueba al crear el cliente, no al usarlo. Un cliente que nunca recibió el permiso no puede pedirlo después.

Lo que un token de tercero nunca lleva

Ningún permiso administrativo, en ninguna circunstancia. Los scopes se traducen a autoridades SCOPE_* y nada más.