Auth Wiki

OpenID Connect
OAuth 2.0
SAML

Explore e encontre definições claras de glossários-chave relacionados à autenticação, autorização e gerenciamento de identidade e acesso (IAM). Trabalhe com padrões abertos como OpenID Connect, OAuth 2.0 e SAML.

A

Acesso offline (Offline access)

O acesso offline (Offline access) permite que os clientes obtenham novos access tokens sem exigir que o utilizador se re-autentique. É útil para sessões de longa duração e uma melhor experiência do utilizador.

API de Gestão (Management API)

A API de Gestão (Management API) no contexto de gestão de identidade e acesso (IAM) permite a gestão programática de recursos como utilizadores, aplicações, funções e permissões. Tipicamente RESTful, fornece uma camada de abstração entre o sistema IAM e a interface do utilizador, permitindo automação, integração e desenvolvimento de funcionalidades personalizadas.

Assinatura Web JSON (JWS)

A Assinatura Web JSON (JWS) é uma forma padrão de assinar e verificar dados em formato JSON. É frequentemente usada para garantir a integridade e autenticidade dos JSON Web Tokens (JWTs) no OpenID Connect (OIDC).

Autenticação (Authentication, AuthN)

A autenticação é o processo de verificação da propriedade da identidade (por exemplo, utilizador ou serviço). É a base dos sistemas de gestão de identidade e acesso (IAM) e é essencial para proteger aplicações e serviços.

Autenticação multi-fator (MFA)

A autenticação multi-fator (MFA) é um mecanismo de segurança que requer que os utilizadores forneçam pelo menos duas formas de identificação para completar o processo de autenticação. Adiciona uma camada extra de segurança que reduz significativamente o risco de acesso não autorizado.

Auth (desambiguação)

O termo "auth" é frequentemente usado como uma abreviação para authentication (autenticação) ou authorization (autorização). Esses conceitos estão relacionados, mas são fundamentalmente diferentes.

Autorização (Authorization)

A autorização (Authorization) é o processo de determinar quais ações uma identidade pode realizar em um recurso. É um mecanismo de segurança fundamental para definir e aplicar políticas de acesso.

C

Chave da Web JSON (JWK)

Uma Chave da Web JSON (JWK) é um formato baseado em JSON usado para representar chaves criptográficas. Quando várias JWKs precisam ser agrupadas, elas são organizadas em um Conjunto de Chaves da Web JSON (JWKS).

Chave de Acesso (Passkey)

Chave de Acesso (Passkey) é uma credencial resistente a phishing e conveniente que substitui senhas, podendo ser usada para iniciar sessão e autenticação multifator.

Chave de API

Uma chave de API é um identificador único usado para autenticar e autorizar um cliente ao acessar uma API. Ela serve como um token secreto incluído em solicitações de API para verificar a identidade do cliente e permitir o acesso a recursos ou serviços específicos. As chaves de API são tipicamente usadas em comunicações de servidor para servidor ou ao acessar dados públicos.

Chave de assinatura

Uma chave de assinatura é uma chave criptográfica usada para assinar e verificar JSON Web Tokens em OpenID Connect (OIDC). É usada para garantir a integridade e autenticidade dos tokens emitidos pelo fornecedor OpenID.

Cliente

No OAuth 2.0 e OpenID Connect (OIDC), um cliente é uma aplicação que solicita autenticação (authentication) ou autorização (authorization) em nome de um utilizador ou de si próprio. Os clientes podem ser públicos ou confidenciais (privados), e utilizam diferentes tipos de concessão para obter tokens.

Comunicação máquina a máquina

Comunicação máquina a máquina (M2M) refere-se à troca automatizada de dados entre dispositivos sem intervenção humana. No contexto de autenticação (authentication) e autorização (authorization), a comunicação M2M frequentemente envolve uma aplicação cliente que precisa acessar recursos, onde a aplicação cliente é uma máquina (serviço) ou uma máquina agindo em nome de um utilizador.

Concessão OAuth 2.0 (OAuth 2.0 grant)

Uma concessão de autorização OAuth 2.0 (OAuth 2.0 grant) (às vezes referida como "tipo de concessão OAuth 2.0" ou "fluxo OAuth 2.0"), é um método usado por clientes para obter um access token de um authorization server. É uma parte essencial para que os clientes OAuth autentiquem e autorizem identidades.

Controlo de acesso

O controlo de acesso é a restrição de quem pode realizar quais ações em determinados recursos em um sistema. É um mecanismo de segurança fundamental para definir e aplicar políticas de acesso.

Controlo de acesso baseado em atributos (ABAC)

O controlo de acesso baseado em atributos (ABAC) é um modelo de controlo de acesso que utiliza atributos (como papéis de utilizador, propriedades de recursos e condições ambientais) para tomar decisões de controlo de acesso. É uma forma flexível e dinâmica de gerir o acesso a recursos protegidos.

Controlo de acesso baseado em funções (RBAC)

O controlo de acesso baseado em funções (RBAC) é um modelo de controlo de acesso que atribui permissões a funções em vez de diretamente a utilizadores, proporcionando uma forma flexível e eficiente de gerir direitos de acesso em sistemas.

D

Declaração (Claim)

Uma declaração (claim) em JSON Web Token (JWT) é um par nome-valor que transmite informações específicas. Num contexto mais amplo, uma declaração pode ser qualquer par nome-valor que representa informação.

Descoberta do OpenID Connect (OIDC)

A Descoberta do OpenID Connect (OIDC) é um mecanismo que permite aos clientes descobrir automaticamente os endpoints e a configuração do Provedor OpenID.

E

Endpoint de userinfo (userinfo endpoint)

O endpoint de userinfo (userinfo endpoint) é um endpoint do OpenID Connect (OIDC) que fornece informações do utilizador aos clientes. É um endpoint suplementar ao ID token e permite que os clientes obtenham informações adicionais do utilizador.

F

Falsificação de solicitação entre sites (CSRF)

A falsificação de solicitação entre sites (CSRF) é um ataque que engana os utilizadores para executar ações indesejadas numa aplicação web na qual estão autenticados. É uma vulnerabilidade de segurança comum que pode levar a ações não autorizadas.

Fluxo de código de autorização (Authorization code flow)

O fluxo de código de autorização (authorization code flow) é um mecanismo seguro do OAuth 2.0 que permite que aplicações obtenham tokens de acesso em nome dos utilizadores. Envolve autenticação do utilizador, geração de código de autorização e troca de tokens.

Fluxo de credenciais do cliente (Client credentials flow)

O fluxo de credenciais do cliente (client credentials flow) é um tipo de concessão do OAuth 2.0 que permite que clientes confidenciais obtenham tokens de acesso (access tokens) para acessar recursos protegidos. É adequado para comunicação máquina-a-máquina (machine-to-machine) (servidor-para-servidor).

Fluxo de dispositivo (Device flow)

O fluxo de autorização de dispositivo OAuth 2.0 é um método de início de sessão amigável para dispositivos com entrada limitada ou aplicações sem interface. Ao verificar um código de dispositivo único, torna possível que os utilizadores autorizem o dispositivo através de um dispositivo secundário com uma interface de utilizador completa.

Fluxo híbrido (Hybrid flow)

O fluxo híbrido (hybrid flow) é um fluxo do OpenID Connect (OIDC) que combina o fluxo de autorização (authorization code flow) e o fluxo implícito (implicit flow). É projetado para fornecer um equilíbrio entre segurança e usabilidade para autenticação (authentication).

Fluxo implícito (Implicit flow)

O fluxo implícito (implicit flow) do OIDC é um método de autenticação para SPAs, permitindo que recebam rapidamente tokens diretamente do servidor de autorização. Embora simplifique o processo ao eliminar a necessidade de um servidor backend, vem com menor segurança devido à exposição do token na URL.

G

Gerador de números pseudoaleatórios criptograficamente seguro (CSPRNG)

Um gerador de números pseudoaleatórios criptograficamente seguro (CSPRNG) é um gerador de números pseudoaleatórios que gera números aleatórios adequados para uso em aplicações criptográficas onde a segurança dos dados é importante.

Gestão de identidade e acesso (IAM)

A gestão de identidade e acesso (IAM) é um conceito amplo que abrange os processos, tecnologias e políticas usadas para gerir identidades digitais e controlar o acesso a recursos. É um aspeto fundamental da segurança em aplicações e sistemas modernos.

I

Indicador de recurso (Resource indicator)

O indicador de recurso (resource indicator) no OAuth 2.0 é um parâmetro de extensão definido no RFC 8707 que permite aos clientes especificar a localização do servidor de recursos no pedido de autorização (authorization request). Ele fornece uma maneira escalável de lidar com vários servidores de recursos em um único servidor de autorização (authorization server).

Início de sessão único (SSO)

O início de sessão único (SSO) é um método de autenticação que permite aos utilizadores aceder a múltiplos sistemas com um único conjunto de credenciais. Como um componente chave dos sistemas de gestão de identidade e acesso (IAM), o SSO é amplamente utilizado em aplicações e serviços modernos baseados na nuvem, simplificando o acesso dos utilizadores e melhorando a segurança.

Introspecção de token (Token introspection)

A introspecção de token (token introspection) é uma extensão do OAuth 2.0 que permite que os clientes consultem o servidor de autorização (authorization server) para validar tokens de acesso (access tokens) e recuperar metadados sobre eles.

J

JSON Web Encryption (JWE)

JSON Web Encryption (JWE) é uma forma padrão de encriptar e desencriptar dados em formato JSON. É frequentemente usado para proteger informações sensíveis em JSON Web Tokens (JWTs) em trânsito.

JSON Web Token (JWT)

JSON Web Token (JWT) é um padrão aberto definido no RFC 7519 que permite comunicação segura entre duas partes. É compacto, seguro para URLs e autossuficiente, tornando-o ideal para transmitir dados de autenticação (authentication) e autorização (authorization) entre serviços.

L

Linguagem de Marcação de Asserção de Segurança (SAML)

A Linguagem de Marcação de Asserção de Segurança (SAML) é um padrão baseado em XML para a troca de dados de autenticação e autorização entre identity providers (fornecedores de identidade) e service providers (fornecedores de serviço).

Linguagem de Marcação Extensível de Controlo de Acesso (XACML)

A Linguagem de Marcação Extensível de Controlo de Acesso (XACML) é uma linguagem baseada em XML para expressar políticas de controlo de acesso. É usada principalmente para implementar políticas de controlo de acesso baseadas em atributos (ABAC).

Link mágico (Magic link)

Link mágico (Magic link) é um URL de uso único que pode ser usado para completar o processo de autenticação (authentication).

M

Multi-tenancy (Multi-tenancy)

Multi-tenancy (Multi-tenancy) é uma arquitetura de software onde uma única instância de aplicação serve múltiplos clientes (inquilinos), mantendo seus dados isolados e seguros. É comum em computação em nuvem e SaaS para otimizar recursos e simplificar a manutenção.

O

OAuth 2.0

OAuth 2.0 é uma estrutura de autorização amplamente utilizada que permite a uma aplicação (cliente) obter acesso limitado a recursos protegidos em nome de um utilizador ou da própria aplicação.

OAuth 2.1

OAuth 2.1 é uma atualização proposta para o framework de autorização OAuth 2.0 que visa melhorar a segurança e a usabilidade ao descontinuar fluxos inseguros e introduzir novas melhores práticas.

OpenID Connect (OIDC)

OpenID Connect (OIDC) é uma camada de autenticação (identity) sobre o OAuth 2.0, permitindo que clientes autentiquem utilizadores e obtenham informações de identidade de forma padronizada.

P

Palavra-passe única (OTP)

Uma palavra-passe única (OTP) é um código único e temporário usado para uma única transação ou sessão de início de sessão.

Palavra-passe única baseada no tempo (TOTP)

Uma palavra-passe única baseada no tempo (TOTP) é um código temporário e único gerado por um algoritmo que usa o tempo atual como um fator chave.

Papel (Role)

Um papel (role) é um conceito central em sistemas de controlo de acesso baseado em papéis (RBAC), representando uma coleção de permissões que define quais ações os utilizadores podem realizar, proporcionando uma forma eficiente de gerir e atribuir direitos de acesso aos utilizadores.

Passwordless (Passwordless)

Passwordless (Passwordless) é um método de autenticação que permite aos utilizadores aceder a sistemas informáticos sem introduzir (ou lembrar) uma palavra-passe ou qualquer outro segredo baseado em conhecimento.

Pedido de autenticação (Authentication request)

Um pedido de autenticação (authentication request) é um pedido OpenID Connect (OIDC) para autenticar um utilizador. Reutiliza o pedido de autorização OAuth 2.0 e estende-o para suportar autenticação.

Pedido de autorização (Authorization request)

Um pedido de autorização (authorization request) é um pedido OAuth 2.0 para autorizar um cliente a aceder a recursos protegidos em nome de um utilizador. É o primeiro passo dos fluxos de autorização de utilizador no OAuth 2.0.

Pedido de token (Token request)

Pedido de token (Token request) refere-se ao pedido OAuth 2.0 para troca de credenciais (por exemplo, código de autorização, refresh token) por um conjunto de tokens, que normalmente inclui um ou mais dos seguintes: access token, ID token ou refresh token.

Proprietário do recurso (Resource owner)

Um proprietário do recurso (resource owner) é uma identidade (geralmente um utilizador) que tem a capacidade de conceder acesso a um recurso protegido. No OAuth 2.0, o proprietário do recurso pode autorizar o cliente a aceder aos seus recursos num servidor de recursos em seu nome.

Prova de Chave para Troca de Código (PKCE)

Prova de Chave para Troca de Código (PKCE) é uma extensão de segurança para OAuth 2.0 que protege códigos de autorização de interceptação e uso indevido. É aplicada a todos os tipos de clientes no OAuth 2.1.

Provedor de identidade (IdP)

Provedor de identidade (IdP) é um serviço que gere identidades. Provedores de identidade modernos suportam OpenID Connect (OIDC) para autenticação e OAuth 2.0 para autorização.

Provedor de serviço (SP)

Provedor de serviço (SP) é uma aplicação ou serviço que depende de um identity provider (IdP) para authentication e authorization.

Provisionamento Just-in-time (JIT)

O provisionamento Just-in-time (JIT) é um processo de gestão de identidade e acesso (IAM) onde as contas de utilizador são provisionadas dinamicamente quando um utilizador inicia sessão pela primeira vez.

Público (Audience)

A claim de público (audience) num token especifica o destinatário pretendido, tipicamente a aplicação cliente ou recurso API. Garante que o token é utilizado apenas pelo serviço correto, melhorando a segurança ao prevenir acessos não autorizados.

S

Scope (Scope)

Scope (Scope) define as permissões que uma aplicação solicita a um utilizador para aceder aos seus recursos protegidos. É um conceito fundamental no OAuth 2.0 e OIDC (OpenID Connect) que controla o nível de acesso que uma aplicação pode ter aos dados de um utilizador.

Servidor de autorização

Um servidor de autorização é um componente do framework OAuth 2.0 que emite access tokens (tokens de acesso) para clients (clientes) após autenticação e autorização bem-sucedidas. Também é o OpenID Provider (OP) no OpenID Connect (OIDC) que emite ID tokens (tokens de ID) para clients (clientes).

Servidor de recursos

Servidor de recursos refere-se ao servidor que hospeda os recursos protegidos que o cliente deseja acessar. Ele também tem a responsabilidade de verificar os access tokens e servir os recursos protegidos ao cliente.

SSO Empresarial

O single sign-on (SSO) empresarial é um tipo específico de SSO projetado para funcionários dentro de uma organização.

T

Token de acesso (Access token)

Um token de acesso (access token) é uma credencial usada para acessar recursos protegidos em nome de uma identidade (por exemplo, usuário ou serviço). É um token de portador que concede acesso a recursos com base nos scopes (permissões) do token.

Token de atualização (Refresh token)

Um token de atualização (refresh token) é uma credencial de longa duração usada para obter novos access tokens (tokens de acesso) sem exigir que o utilizador se autentique novamente. É usado para manter sessões de utilizador e proporcionar uma melhor experiência de utilizador.

Token de ID (ID token)

Um token de ID (ID token) é um JSON Web Token (JWT) emitido por um servidor de autorização para uma aplicação cliente. Ele contém informações sobre o utilizador autenticado, como o seu identificador único e claims. Este token é usado para verificar a identidade do utilizador e permite que a aplicação cliente aceda a recursos protegidos em nome do utilizador.

Token opaco

Um token opaco é um tipo de token cujo formato é determinado pelo issuer (emissor), tipicamente aparecendo como uma sequência de caracteres ou números, e requer validação pelo issuer (emissor) em vez de conter todas as informações necessárias para validação direta.

U

URI de Redirecionamento (Redirect URI)

URI de redirecionamento (Redirect URI) é um URI onde o authorization server redireciona o user-agent após um authorization request. É um parâmetro essencial nos oauth 2.0 grant e OpenID Connect (OIDC) que envolvem interação do usuário.

W

WebAuthn

WebAuthn é uma API para aceder a credenciais de chave pública, facilitando a implementação de passkeys.

Webhook

Webhooks são um método para aplicações web comunicarem entre si em tempo real. Permitem que uma aplicação envie mensagens automáticas ou informações para outra aplicação quando um evento específico ocorre.