A
Acesso offline (Offline access)
O acesso offline (Offline access) permite que os clientes obtenham novos access tokens sem exigir que o utilizador se re-autentique. É útil para sessões de longa duração e uma melhor experiência do utilizador.
Saiba mais
API de Gestão (Management API)
A API de Gestão (Management API) no contexto de gestão de identidade e acesso (IAM) permite a gestão programática de recursos como utilizadores, aplicações, funções e permissões. Tipicamente RESTful, fornece uma camada de abstração entre o sistema IAM e a interface do utilizador, permitindo automação, integração e desenvolvimento de funcionalidades personalizadas.
Saiba mais
Assinatura Web JSON (JWS)
A Assinatura Web JSON (JWS) é uma forma padrão de assinar e verificar dados em formato JSON. É frequentemente usada para garantir a integridade e autenticidade dos JSON Web Tokens (JWTs) no OpenID Connect (OIDC).
Saiba mais
Autenticação (Authentication)
A autenticação (Authentication) é o processo de verificar a propriedade da identidade (por exemplo, utilizador ou serviço). É a base dos sistemas de gestão de identidade e acesso (IAM) e é essencial para proteger aplicações e serviços.
Saiba mais
Autenticação multi-fator (MFA)
A autenticação multi-fator (MFA) é um mecanismo de segurança que requer que os utilizadores forneçam pelo menos duas formas de identificação para completar o processo de autenticação. Adiciona uma camada extra de segurança que reduz significativamente o risco de acesso não autorizado.
Saiba mais
Auth (desambiguação)
O termo "auth" é frequentemente usado como uma abreviação para authentication (autenticação) ou authorization (autorização). Esses conceitos estão relacionados, mas são fundamentalmente diferentes.
Saiba mais
Autorização (Authorization)
A autorização (Authorization) é o processo de determinar quais ações uma identidade pode realizar em um recurso. É um mecanismo de segurança fundamental para definir e aplicar políticas de acesso.
Saiba mais
C
Chave da Web JSON (JWK)
Uma Chave da Web JSON (JWK) é um formato baseado em JSON usado para representar chaves criptográficas. Quando várias JWKs precisam ser agrupadas, elas são organizadas em um Conjunto de Chaves da Web JSON (JWKS).
Saiba mais
Chave de Acesso (Passkey)
Chave de Acesso (Passkey) é uma credencial resistente a phishing e conveniente que substitui senhas, podendo ser usada para iniciar sessão e autenticação multifator.
Saiba mais
Chave de API
Uma chave de API é um identificador único usado para autenticar e autorizar um cliente ao acessar uma API. Ela serve como um token secreto incluído em solicitações de API para verificar a identidade do cliente e permitir o acesso a recursos ou serviços específicos. As chaves de API são tipicamente usadas em comunicações de servidor para servidor ou ao acessar dados públicos.
Saiba mais
Chave de assinatura
Uma chave de assinatura é uma chave criptográfica usada para assinar e verificar JSON Web Tokens em OpenID Connect (OIDC). É usada para garantir a integridade e autenticidade dos tokens emitidos pelo fornecedor OpenID.
Saiba mais
Cliente
No OAuth 2.0 e OpenID Connect (OIDC), um cliente é uma aplicação que solicita autenticação (authentication) ou autorização (authorization) em nome de um utilizador ou de si próprio. Os clientes podem ser públicos ou confidenciais (privados), e utilizam diferentes tipos de concessão para obter tokens.
Saiba mais
Comunicação máquina a máquina
Comunicação máquina a máquina (M2M) refere-se à troca automatizada de dados entre dispositivos sem intervenção humana. No contexto de autenticação (authentication) e autorização (authorization), a comunicação M2M frequentemente envolve uma aplicação cliente que precisa acessar recursos, onde a aplicação cliente é uma máquina (serviço) ou uma máquina agindo em nome de um utilizador.
Saiba mais
Concessão OAuth 2.0 (OAuth 2.0 grant)
Uma concessão de autorização OAuth 2.0 (OAuth 2.0 grant) (às vezes referida como "tipo de concessão OAuth 2.0" ou "fluxo OAuth 2.0"), é um método usado por clientes para obter um access token de um authorization server. É uma parte essencial para que os clientes OAuth autentiquem e autorizem identidades.
Saiba mais
Controlo de acesso
O controlo de acesso é a restrição de quem pode realizar quais ações em determinados recursos em um sistema. É um mecanismo de segurança fundamental para definir e aplicar políticas de acesso.
Saiba mais
Controlo de acesso baseado em atributos (ABAC)
O controlo de acesso baseado em atributos (ABAC) é um modelo de controlo de acesso que utiliza atributos (como papéis de utilizador, propriedades de recursos e condições ambientais) para tomar decisões de controlo de acesso. É uma forma flexível e dinâmica de gerir o acesso a recursos protegidos.
Saiba mais
Controlo de acesso baseado em funções (RBAC)
O controlo de acesso baseado em funções (RBAC) é um modelo de controlo de acesso que atribui permissões a funções em vez de diretamente a utilizadores, proporcionando uma forma flexível e eficiente de gerir direitos de acesso em sistemas.
Saiba mais
D
Declaração (Claim)
Uma declaração (claim) em JSON Web Token (JWT) é um par nome-valor que transmite informações específicas. Num contexto mais amplo, uma declaração pode ser qualquer par nome-valor que representa informação.
Saiba mais
Descoberta do OpenID Connect (OIDC)
A Descoberta do OpenID Connect (OIDC) é um mecanismo que permite aos clientes descobrir automaticamente os endpoints e a configuração do Provedor OpenID.
Saiba mais
E
Endpoint de userinfo (userinfo endpoint)
O endpoint de userinfo (userinfo endpoint) é um endpoint do OpenID Connect (OIDC) que fornece informações do utilizador aos clientes. É um endpoint suplementar ao ID token e permite que os clientes obtenham informações adicionais do utilizador.
Saiba mais
F
Falsificação de solicitação entre sites (CSRF)
A falsificação de solicitação entre sites (CSRF) é um ataque que engana os utilizadores para executar ações indesejadas numa aplicação web na qual estão autenticados. É uma vulnerabilidade de segurança comum que pode levar a ações não autorizadas.
Saiba mais
Fluxo de código de autorização (Authorization code flow)
O fluxo de código de autorização (authorization code flow) é um mecanismo seguro do OAuth 2.0 que permite que aplicações obtenham tokens de acesso em nome dos utilizadores. Envolve autenticação do utilizador, geração de código de autorização e troca de tokens.
Saiba mais
Fluxo de credenciais do cliente (Client credentials flow)
O fluxo de credenciais do cliente (client credentials flow) é um tipo de concessão do OAuth 2.0 que permite que clientes confidenciais obtenham tokens de acesso (access tokens) para acessar recursos protegidos. É adequado para comunicação máquina-a-máquina (machine-to-machine) (servidor-para-servidor).
Saiba mais
Fluxo de dispositivo (Device flow)
O fluxo de autorização de dispositivo OAuth 2.0 é um método de início de sessão amigável para dispositivos com entrada limitada ou aplicações sem interface. Ao verificar um código de dispositivo único, torna possível que os utilizadores autorizem o dispositivo através de um dispositivo secundário com uma interface de utilizador completa.
Saiba mais
Fluxo híbrido (Hybrid flow)
O fluxo híbrido (hybrid flow) é um fluxo do OpenID Connect (OIDC) que combina o fluxo de autorização (authorization code flow) e o fluxo implícito (implicit flow). É projetado para fornecer um equilíbrio entre segurança e usabilidade para autenticação (authentication).
Saiba mais
Fluxo implícito (Implicit flow)
O fluxo implícito (implicit flow) do OIDC é um método de autenticação para SPAs, permitindo que recebam rapidamente tokens diretamente do servidor de autorização. Embora simplifique o processo ao eliminar a necessidade de um servidor backend, vem com menor segurança devido à exposição do token na URL.
Saiba mais
G
Gerador de números pseudoaleatórios criptograficamente seguro (CSPRNG)
Um gerador de números pseudoaleatórios criptograficamente seguro (CSPRNG) é um gerador de números pseudoaleatórios que gera números aleatórios adequados para uso em aplicações criptográficas onde a segurança dos dados é importante.
Saiba mais
Gestão de identidade e acesso (IAM)
A gestão de identidade e acesso (IAM) é um conceito amplo que abrange os processos, tecnologias e políticas usadas para gerir identidades digitais e controlar o acesso a recursos. É um aspeto fundamental da segurança em aplicações e sistemas modernos.
Saiba mais
I
Indicador de recurso (Resource indicator)
O indicador de recurso (resource indicator) no OAuth 2.0 é um parâmetro de extensão definido no RFC 8707 que permite aos clientes especificar a localização do servidor de recursos no pedido de autorização (authorization request). Ele fornece uma maneira escalável de lidar com vários servidores de recursos em um único servidor de autorização (authorization server).
Saiba mais
Início de sessão único (SSO)
O início de sessão único (SSO) é um método de autenticação que permite aos utilizadores aceder a múltiplos sistemas com um único conjunto de credenciais. Como um componente chave dos sistemas de gestão de identidade e acesso (IAM), o SSO é amplamente utilizado em aplicações e serviços modernos baseados na nuvem, simplificando o acesso dos utilizadores e melhorando a segurança.
Saiba mais
Introspecção de token (Token introspection)
A introspecção de token (token introspection) é uma extensão do OAuth 2.0 que permite que os clientes consultem o servidor de autorização (authorization server) para validar tokens de acesso (access tokens) e recuperar metadados sobre eles.
Saiba mais
J
JSON Web Encryption (JWE)
JSON Web Encryption (JWE) é uma forma padrão de encriptar e desencriptar dados em formato JSON. É frequentemente usado para proteger informações sensíveis em JSON Web Tokens (JWTs) em trânsito.
Saiba mais
JSON Web Token (JWT)
JSON Web Token (JWT) é um padrão aberto definido no RFC 7519 que permite comunicação segura entre duas partes. É compacto, seguro para URLs e autossuficiente, tornando-o ideal para transmitir dados de autenticação (authentication) e autorização (authorization) entre serviços.
Saiba mais
L
Linguagem de Marcação de Asserção de Segurança (SAML)
A Linguagem de Marcação de Asserção de Segurança (SAML) é um padrão baseado em XML para a troca de dados de autenticação e autorização entre identity providers (fornecedores de identidade) e service providers (fornecedores de serviço).
Saiba mais
Linguagem de Marcação Extensível de Controlo de Acesso (XACML)
A Linguagem de Marcação Extensível de Controlo de Acesso (XACML) é uma linguagem baseada em XML para expressar políticas de controlo de acesso. É usada principalmente para implementar políticas de controlo de acesso baseadas em atributos (ABAC).
Saiba mais
Link mágico (Magic link)
Link mágico (Magic link) é um URL de uso único que pode ser usado para completar o processo de autenticação (authentication).
Saiba mais
M
Multi-tenancy (Multi-tenancy)
Multi-tenancy (Multi-tenancy) é uma arquitetura de software onde uma única instância de aplicação serve múltiplos clientes (inquilinos), mantendo seus dados isolados e seguros. É comum em computação em nuvem e SaaS para otimizar recursos e simplificar a manutenção.
Saiba mais
O
OAuth 2.0
OAuth 2.0 é uma estrutura de autorização amplamente utilizada que permite a uma aplicação (cliente) obter acesso limitado a recursos protegidos em nome de um utilizador ou da própria aplicação.
Saiba mais
OAuth 2.1
OAuth 2.1 é uma atualização proposta para o framework de autorização OAuth 2.0 que visa melhorar a segurança e a usabilidade ao descontinuar fluxos inseguros e introduzir novas melhores práticas.
Saiba mais
OpenID Connect (OIDC)
OpenID Connect (OIDC) é uma camada de autenticação (identity) sobre o OAuth 2.0, permitindo que clientes autentiquem utilizadores e obtenham informações de identidade de forma padronizada.
Saiba mais
P
Palavra-passe única (OTP)
Uma palavra-passe única (OTP) é um código único e temporário usado para uma única transação ou sessão de início de sessão.
Saiba mais
Palavra-passe única baseada no tempo (TOTP)
Uma palavra-passe única baseada no tempo (TOTP) é um código temporário e único gerado por um algoritmo que usa o tempo atual como um fator chave.
Saiba mais
Papel (Role)
Um papel (role) é um conceito central em sistemas de controlo de acesso baseado em papéis (RBAC), representando uma coleção de permissões que define quais ações os utilizadores podem realizar, proporcionando uma forma eficiente de gerir e atribuir direitos de acesso aos utilizadores.
Saiba mais
Passwordless (Passwordless)
Passwordless (Passwordless) é um método de autenticação que permite aos utilizadores aceder a sistemas informáticos sem introduzir (ou lembrar) uma palavra-passe ou qualquer outro segredo baseado em conhecimento.
Saiba mais
Pedido de autenticação (Authentication request)
Um pedido de autenticação (authentication request) é um pedido OpenID Connect (OIDC) para autenticar um utilizador. Reutiliza o pedido de autorização OAuth 2.0 e estende-o para suportar autenticação.
Saiba mais
Pedido de autorização (Authorization request)
Um pedido de autorização (authorization request) é um pedido OAuth 2.0 para autorizar um cliente a aceder a recursos protegidos em nome de um utilizador. É o primeiro passo dos fluxos de autorização de utilizador no OAuth 2.0.
Saiba mais
Pedido de token (Token request)
Pedido de token (Token request) refere-se ao pedido OAuth 2.0 para troca de credenciais (por exemplo, código de autorização, refresh token) por um conjunto de tokens, que normalmente inclui um ou mais dos seguintes: access token, ID token ou refresh token.
Saiba mais
Proprietário do recurso (Resource owner)
Um proprietário do recurso (resource owner) é uma identidade (geralmente um utilizador) que tem a capacidade de conceder acesso a um recurso protegido. No OAuth 2.0, o proprietário do recurso pode autorizar o cliente a aceder aos seus recursos num servidor de recursos em seu nome.
Saiba mais
Prova de Chave para Troca de Código (PKCE)
Prova de Chave para Troca de Código (PKCE) é uma extensão de segurança para OAuth 2.0 que protege códigos de autorização de interceptação e uso indevido. É aplicada a todos os tipos de clientes no OAuth 2.1.
Saiba mais
Provedor de identidade (IdP)
Provedor de identidade (IdP) é um serviço que gere identidades. Provedores de identidade modernos suportam OpenID Connect (OIDC) para autenticação e OAuth 2.0 para autorização.
Saiba mais
Provedor de serviço (SP)
Provedor de serviço (SP) é uma aplicação ou serviço que depende de um identity provider (IdP) para authentication e authorization.
Saiba mais
Provisionamento Just-in-time (JIT)
O provisionamento Just-in-time (JIT) é um processo de gestão de identidade e acesso (IAM) onde as contas de utilizador são provisionadas dinamicamente quando um utilizador inicia sessão pela primeira vez.
Saiba mais
Público (Audience)
A claim de público (audience) num token especifica o destinatário pretendido, tipicamente a aplicação cliente ou recurso API. Garante que o token é utilizado apenas pelo serviço correto, melhorando a segurança ao prevenir acessos não autorizados.
Saiba mais
S
Scope (Scope)
Scope (Scope) define as permissões que uma aplicação solicita a um utilizador para aceder aos seus recursos protegidos. É um conceito fundamental no OAuth 2.0 e OIDC (OpenID Connect) que controla o nível de acesso que uma aplicação pode ter aos dados de um utilizador.
Saiba mais
Servidor de autorização
Um servidor de autorização é um componente do framework OAuth 2.0 que emite access tokens (tokens de acesso) para clients (clientes) após autenticação e autorização bem-sucedidas. Também é o OpenID Provider (OP) no OpenID Connect (OIDC) que emite ID tokens (tokens de ID) para clients (clientes).
Saiba mais
Servidor de recursos
Servidor de recursos refere-se ao servidor que hospeda os recursos protegidos que o cliente deseja acessar. Ele também tem a responsabilidade de verificar os access tokens e servir os recursos protegidos ao cliente.
Saiba mais
SSO Empresarial
O single sign-on (SSO) empresarial é um tipo específico de SSO projetado para funcionários dentro de uma organização.
Saiba mais
T
Token de acesso (Access token)
Um token de acesso (access token) é uma credencial usada para acessar recursos protegidos em nome de uma identidade (por exemplo, usuário ou serviço). É um token de portador que concede acesso a recursos com base nos scopes (permissões) do token.
Saiba mais
Token de atualização (Refresh token)
Um token de atualização (refresh token) é uma credencial de longa duração usada para obter novos access tokens (tokens de acesso) sem exigir que o utilizador se autentique novamente. É usado para manter sessões de utilizador e proporcionar uma melhor experiência de utilizador.
Saiba mais
Token de ID (ID token)
Um token de ID (ID token) é um JSON Web Token (JWT) emitido por um servidor de autorização para uma aplicação cliente. Ele contém informações sobre o utilizador autenticado, como o seu identificador único e claims. Este token é usado para verificar a identidade do utilizador e permite que a aplicação cliente aceda a recursos protegidos em nome do utilizador.
Saiba mais
Token opaco
Um token opaco é um tipo de token cujo formato é determinado pelo issuer (emissor), tipicamente aparecendo como uma sequência de caracteres ou números, e requer validação pelo issuer (emissor) em vez de conter todas as informações necessárias para validação direta.
Saiba mais
U
URI de Redirecionamento (Redirect URI)
URI de redirecionamento (Redirect URI) é um URI onde o authorization server redireciona o user-agent após um authorization request. É um parâmetro essencial nos oauth 2.0 grant e OpenID Connect (OIDC) que envolvem interação do usuário.
Saiba mais
W
WebAuthn
WebAuthn é uma API para aceder a credenciais de chave pública, facilitando a implementação de passkeys.
Saiba mais
Webhook
Webhooks são um método para aplicações web comunicarem entre si em tempo real. Permitem que uma aplicação envie mensagens automáticas ou informações para outra aplicação quando um evento específico ocorre.
Saiba mais