OAuth e Autorização Delegada: Tokens, Escopos e Governança Zero-Trust
Domine OAuth 2.0 e OpenID Connect na prática: do fluxo Authorization Code à governança corporativa. Tokens, escopos, refresh rotation, anti-patterns e auditoria executiva de OAuth em portfolio SaaS.
O que você vai aprender
Ao final deste curso, você consegue desenhar integrações OAuth corporativas com escopo mínimo, implementar refresh token rotation com detecção de reuso, distinguir OAuth de OpenID Connect e conduzir auditoria executiva de OAuth em portfolio SaaS.
OAuth é um padrão de autorização delegada. Permite que uma aplicação acesse recursos de outra sem precisar saber, armazenar ou trafegar a senha do usuário.
Imagine autorizar uma ferramenta de automação a criar eventos no seu Google Calendar. Sem OAuth, você teria duas opções ruins: entregar sua senha do Google ou abrir mão da automação. Com OAuth, a ferramenta recebe um token escopado, com permissões específicas e revogáveis.
A diferença operacional entre entregar senha e entregar token escopado é grande
| Aspecto | Entregar senha | OAuth (token escopado) |
|---|---|---|
| Acesso | Total à conta | Apenas escopos aprovados |
| Revogação | Trocar senha (afeta tudo) | Revogar 1 token (afeta 1 app) |
| MFA do usuário | Bypassada | Preservada no provedor |
| Auditoria | Inexistente | Logs por aplicação |
| Vazamento | Compromete a conta inteira | Compromete um escopo limitado |
// Antes: a aplicação X precisava da senha do usuárioPOST /login{ "username": "alexandre@brasilgeo.ai", "password": "senha-real-do-google"}// Risco: senha trafegando, armazenada e exposta a vazamento.// Depois: OAuth devolve um token escopadoGET /api/calendar/eventsAuthorization: Bearer ya29.a0AfH6SMB...// Sem senha. Sem acesso ao Gmail. Sem acesso ao Drive.// Apenas o escopo calendar.events, com expiração curta.OAuth funciona em cinco etapas conceituais
- 1.A aplicação cliente pede acesso a um recurso protegido
- 2.O usuário é redirecionado ao provedor oficial (Google, Microsoft, Slack)
- 3.O usuário aprova permissões específicas em uma tela de consentimento
- 4.O provedor entrega um access token para o cliente
- 5.O cliente usa o token para chamar APIs autorizadas
A senha nunca passa pela aplicação cliente. Esse é o ponto central. Quando você vê integrações que pedem login e senha de uma conta de terceiros, está olhando para um anti-pattern: alguém está reinventando o que OAuth resolveu há 15 anos.
OAuth não substitui boas práticas de segurança da aplicação cliente. Token vazado é acesso vazado. A diferença é que o raio de explosão fica limitado ao escopo aprovado, não à conta inteira.
Você consegue explicar por que OAuth existe, qual problema resolve em relação ao password sharing, e quais ganhos operacionais traz para revogação, MFA e auditoria.
Perguntas frequentes
Preciso saber programar para fazer este curso?
OAuth 1.0 ou 2.0 -- qual estudar?
Como OAuth se relaciona com SSO/SAML?
Quais provedores OAuth são cobertos no curso?
O curso aborda PKCE e mobile/SPA?
Alexandre Caramaschi
CEO da Brasil GEO, ex-CMO da Semantix (Nasdaq), cofundador da AI Brasil
Este curso faz parte do material educacional da Brasil GEO. Os exemplos seguem padrões de OAuth observados em postmortems públicos e auditorias reais de portfolio SaaS, para que o aprendizado seja diretamente aplicável em ambientes corporativos.