Ámbitos de OAuth
Permisos granulares que solicita una aplicación OAuth — read:user, write:repo, delete:files.
El usuario ve los ámbitos en el diálogo de consentimiento («esta aplicación quiere leer tu correo»). La buena práctica es pedir un conjunto mínimo y de forma incremental: solicitar más solo cuando de verdad hace falta. GitHub tiene más de 30 ámbitos; Google Workspace, más de 100. El abuso típico son las aplicaciones que exigen ámbitos exageradamente amplios.