OAuth
OAuth (Autorização Aberta) é um framework de autorização amplamente adotado usado para habilitar acesso seguro e delegado entre aplicações sem expor credenciais sensíveis.
Definição
OAuth, abreviação de Autorização Aberta, é um protocolo de padrão aberto que permite a um usuário conceder a uma aplicação de terceiros acesso limitado a recursos protegidos em outro serviço sem compartilhar suas credenciais de login. Ele opera emitindo tokens de acesso com escopo que definem quais dados e ações o aplicativo solicitante é permitido realizar em nome do usuário. Embora frequentemente associado a fluxos como "entrar com X", seu propósito principal é a autorização, e não a autenticação. OAuth 2.0, a versão mais comum, define vários tipos de concessão para suportar cenários de acesso web, móvel e máquina a máquina, permitindo interações seguras de API e acesso delegado a recursos em aplicações modernas. As implementações variam entre ecossistemas, mas o princípio subjacente permanece o acesso baseado em tokens com escopo sem exposição de credenciais.
Vantagens
- Melhora a segurança ao evitar o compartilhamento direto de credenciais de usuário com aplicações de terceiros.
- Controle de acesso granular por meio de escopos limita permissões apenas ao que é necessário.
- Amplamente suportado em ecossistemas web, móvel e de API.
- Modelo padronizado baseado em tokens simplifica a integração com serviços externos.
- Reduz a fricção para usuários ao permitir fluxos de consentimento único para múltiplos serviços.
Desvantagens
- Pode ser complexo de implementar corretamente devido a vários fluxos e especificações opcionais.
- OAuth em si não autentica a identidade do usuário.
- Gestão e ciclo de vida de tokens devem ser cuidadosamente tratados para evitar problemas de segurança.
- Implementações diferentes por provedores podem levar a desafios de interoperabilidade.
- Configuração incorreta pode expor tokens de acesso ou conceder permissões excessivas.
Casos de Uso
- Permitir que um aplicativo de terceiros acesse os dados do perfil de um usuário sem exigir sua senha.
- Integrar serviços como calendário ou contatos entre plataformas de forma segura.
- Habilitar acesso a API para comunicação servidor a servidor usando credenciais do cliente.
- Suportar opções de login social (ex.: "Entrar com Google") por meio de autorização delegada.
- Autorizar dispositivos IoT ou aplicativos nativos a acessarem recursos em nuvem em nome de usuários.