Revisado em
Para quem aprova conectores, integrações e agentes de IA: o que o botão Permitir entrega, quanto acesso conceder, onde o token fica guardado e como auditar e revogar. Cada capítulo parte de uma decisão, explica o conceito com palavras do dia a dia, traz um caso real ou um exemplo hipotético e fecha com a tabela ou o checklist que você leva ao fornecedor. As fontes de cada fato ficam no rodapé do capítulo, com data.
Ao final, você sabe o que foi entregue quando alguém da equipe clicou em Permitir, faz ao fornecedor as perguntas que separam uma integração segura de uma arriscada, decide quanto acesso aprovar e quem aprova, exige saber onde os tokens da empresa ficam guardados e conduz a auditoria dos acessos já concedidos, incluindo agentes de IA.
O percurso linear dos 8 capítulos continua sendo o caminho completo. A Rota Executiva foi desenhada para quem aprova e não vai implementar: pula os blocos “Para quem implementa” e para no ponto da decisão.
Conselho, CEO, CFO, jurídico e compras, sem formação técnica
Aprovar ou recusar um conector ou agente de IA com perguntas escritas ao fornecedor e exigir da TI um inventário de acessos com dono e prazo de revogação.
RevOps, marketing ops, gestão de produto e quem conecta CRM, planilhas e automações
Conectar uma ferramenta com escopo mínimo, identidade de serviço própria e caminho de revogação documentado.
TI, segurança da informação e desenvolvimento
O curso inteiro, na ordem, com os blocos “Para quem implementa” de cada capítulo.
Um clique numa tela de consentimento entrega uma chave a outra empresa, e o caminho dessa chave tem pontos que o fornecedor precisa proteger.
Confira o que o aplicativo poderá fazer, quem aprovou esse acesso e onde revogá-lo quando ele deixar de ser necessário.
Carregando a vídeo-aula: O que você entrega quando clica em "Permitir"
Carregando o podcast: OAuth e Autorização Delegada
Em abril de 2026, a Vercel publicou um boletim de segurança sobre um incidente que começou fora dela. Um funcionário tinha autorizado a Context.ai, ferramenta de IA de outra empresa, a acessar sua conta Google Workspace corporativa. Segundo o boletim, quem comprometeu a Context.ai usou essa autorização para tomar a conta do funcionário e chegar ao ambiente da Vercel. A empresa publicou o identificador do aplicativo OAuth envolvido, para que outras organizações o procurassem nos próprios consoles, e declarou o incidente encerrado em 16 de outubro de 2026.
Boletim de segurança da base de conhecimento da Vercel sobre o incidente de abril de 2026, com a nota em itálico de que todas as ações de remediação foram concluídas em 16 de outubro de 2026 e o incidente foi encerrado.
Antes de conectar uma ferramenta, confira duas coisas: o que ela poderá fazer e quem pode encerrar o acesso. O provedor, como Google ou Microsoft, emite uma credencial com permissões. O dono da conta ou o administrador remove a autorização no painel de aplicativos conectados.
O aplicativo recebe uma credencial temporária com permissões listadas e nunca vê a senha.
O login acontece na página do provedor, com as proteções dele.
Revogue o aplicativo escolhido e confira quando o acesso termina.
Cada integração aparece no console com nome, escopo e data.
OAuth é o padrão que permite deixar outro aplicativo acessar dados sem entregar a senha. O aplicativo recebe um token, uma credencial temporária, e só pode realizar as ações autorizadas. A lista dessas ações se chama escopo. Ao clicar em “Permitir” na tela de consentimento, você autoriza o aplicativo a obter essa credencial.
Página OAuth 2.0 do site oauth.net, com a definição do padrão como protocolo de autorização, a menção ao OAuth 2.1 em andamento e um quadro amarelo sobre o uso de OAuth com agentes de IA e servidores MCP.
| Pergunta | Senha entregue ao aplicativo | Token emitido por OAuth |
|---|---|---|
| O que o terceiro pode fazer | Pode tentar entrar como a pessoa e usar os acessos dela | Só o que o escopo aprovado lista |
| O que a troca de senha desfaz | Impede novos logins com a senha antiga; confira também as sessões abertas | Pode não cortar: vários tipos de token continuam valendo |
| Como revogar | Trocar a senha e encerrar as sessões indevidas | Remover a autorização daquele aplicativo, sem mexer nas outras |
| O que aparece na auditoria | Logins da própria pessoa, sem distinção | Um aplicativo com nome, escopo e data de concessão |
| Verificação em duas etapas (MFA) | Ainda pode ser exigida, mas a senha já foi entregue a um terceiro | Acontece no provedor, com as proteções dele |
Fonte: Elaboração do curso com base na RFC 6749 (IETF) e na documentação de tokens da Microsoft.
Esse acesso é o alvo de um golpe chamado phishing de consentimento. Em alerta de 1º de setembro de 2026, o FBI descreveu falsos compartilhamentos de arquivo que levam à tela verdadeira de permissão do provedor. A vítima aprova e o aplicativo do atacante ganha acesso aos e-mails. Ver a marca do Google ou da Microsoft na tela não basta: confira o nome do aplicativo e as permissões. Se aprovou um pedido suspeito, acione a TI e revogue a autorização específica.
Página em português do Microsoft Learn intitulada Proteger contra phishing de consentimento, com a introdução sobre ataques baseados em aplicativo e o sumário com mitigação, resposta e práticas recomendadas.
Pense numa procuração com poderes listados. O procurador age em seu nome só no que foi escrito, e o documento continua valendo se você trocar a fechadura de casa. Para encerrar, revoga-se a própria procuração; a chave nova da porta não a alcança.
Exemplo hipotético: a diretora comercial aprova um assistente de reuniões que pede para ler e enviar e-mails. Três meses depois, o piloto termina, mas a autorização continua ativa. A equipe confirma que ninguém mais usa o assistente, revoga seu acesso no Google e registra a data. Apagar o aplicativo do computador, sozinho, não encerra a autorização.
Há ainda a camada jurídica. A Lei Geral de Proteção de Dados define consentimento como manifestação livre, informada e inequívoca para uma finalidade determinada, e o guia da ANPD lembra que a lei veda autorização tácita ou para finalidades genéricas. O clique em “Permitir” registra uma permissão técnica e, sozinho, não demonstra que o tratamento de dados tem base legal. Essa análise continua com o jurídico, e o inventário de aplicativos conectados é o insumo dela.
Escolha um aplicativo conectado à sua conta. Anote nome, finalidade e permissões. Se não souber para que ele serve, consulte quem o autorizou antes de manter o acesso. Confira ao final se cada permissão tem uma tarefa que a justifique.
Confira a validade de cada credencial, a possibilidade de renovação e o prazo para o acesso parar após a revogação.
Compare cada permissão com a tarefa do aplicativo. Peça acesso menor quando ele quiser ler, alterar ou apagar dados sem necessidade.
Localize os tokens de renovação, confira como são protegidos e combine quem revoga o acesso quando houver um incidente no fornecedor.
Separe os dados usados para identificar você das permissões para ler mensagens, agenda ou arquivos. Aprove apenas o que o serviço precisa.
Escolha a identidade de uma automação ou de um agente de IA. Defina permissões, responsável e continuidade quando alguém sair da empresa.
Liste os aplicativos conectados, identifique acessos sem responsável e ensaie a revogação. Acompanhe três medidas simples para conferir o resultado.
Plataforma de visibilidade algorítmica com análises contínuas em ChatGPT, Gemini, Claude e Perplexity. R$ 99/mês nos primeiros 3 meses com cupom ALE99. Ideal para aplicar o que você aprendeu em OAuth e Autorização Delegada.
Sem cartão para começar · cancele quando quiser · cupom ativo por 3 meses consecutivos
Escolha uma atividade no painel e volte a este curso quando quiser.
Atividades e evolução ficam reunidas no painel da sua conta.
Cursos do portal que aprofundam ou complementam o que você estudou aqui.
Seleção automática baseada nos tópicos, audiência e jornada desta página.
Páginas de referência do site sobre o mesmo assunto.
Usamos cookies para medir o uso do site, melhorar os cursos e, se você aceitar, medir anúncios. Política de privacidade
