Escolher o modelo de sessão pela rapidez de cortar um acesso

Uma conta invadida com token assinado de 24 horas continua válida mesmo depois de o suporte clicar em desconectar todos os dispositivos. O token é como um crachá com a prova dentro, e o servidor não consulta nenhum registro para aceitá-lo.

Existem dois jeitos de o sistema lembrar quem você é a cada clique, e a diferença aparece exatamente nesse pior dia.

Na sessão, o servidor guarda um registro e entrega ao navegador apenas um número. A cada pedido ele consulta esse registro, e apagar a linha encerra o acesso naquele instante.

O JWT é um token assinado, um bilhete que o próprio cliente carrega com a prova dentro. O servidor confere a assinatura e não consulta nada, o que sai rápido e barato de escalar.

Na revogação aparece o preço: enquanto o bilhete não expira, ele vale, mesmo com a conta invadida e o suporte clicando em desconectar todos os dispositivos.

A saída conhecida é o access token curto, de cinco a quinze minutos, com um refresh token revogável guardado no servidor. Uma alternativa é a lista de negação consultada a cada pedido, que reintroduz o estado que o token assinado tentava evitar.

Um campo no usuário que marca a validade mínima aceita, comparado com o instante em que o bilhete foi emitido, é a mitigação mais barata de operar.

OAuth é o protocolo por trás do botão entrar com Google ou Microsoft. A senha do usuário nunca passa pela sua aplicação, porque é digitada no domínio do provedor, que devolve só uma autorização.

A saída prática para o problema da revogação combina os dois modelos: o bilhete fica curto, de cinco a quinze minutos, e um segundo token, revogável, fica guardado no servidor para renová-lo. O algoritmo de assinatura também precisa ficar fixado no servidor; aceitar o algoritmo declarado dentro do próprio token abre a porta para o ataque conhecido como alg none.

Passkey troca a senha por uma chave presa ao aparelho, e já são cinco bilhões em uso no mundo. Entre os consumidores ouvidos em 2026, 75% habilitaram uma em alguma conta.

Peça ao suporte para encerrar a sua própria sessão e cronometre quanto tempo o acesso antigo continua funcionando. Se ele valer por horas, o produto usa token assinado sem lista de revogação, e vale perguntar a validade do bilhete e quem no time sabe reduzi-la hoje.

Repita o teste com conta de fornecedor e com quem já saiu da empresa. Confira também quem ainda tem acesso ao painel do provedor de login: colaborador fora há três meses e presente na lista é incidente com data marcada. Registre o resultado, porque ele vira anexo em qualquer auditoria.

Antes de aprovar o modelo de sessão do produto, exija a validade do bilhete em minutos e a demonstração ao vivo do corte de acesso, com outra pessoa tentando usar a credencial já encerrada.