Autenticação é o processo de verificar a identidade de um usuário, dispositivo ou sistema antes de conceder acesso a recursos protegidos. Em termos simples, é como provar que você é quem diz ser — digitando uma senha, usando um aplicativo autenticador, aproximando um cartão de acesso ou passando o dedo no leitor biométrico.
Segundo o NIST SP 800-63 (2020), autenticação é o processo que confirma a validade de uma declaração de identidade digital, geralmente combinada com um ou mais fatores de verificação. É um dos pilares da segurança da informação, ao lado da autorização, da auditoria e do gerenciamento de identidade.
Como funciona a autenticação
O fluxo básico de autenticação segue três etapas: (1) o usuário apresenta uma credencial (senha, token, biometria); (2) o sistema valida essa credencial contra uma fonte confiável (banco de dados, provedor de identidade, servidor LDAP); (3) se válida, o sistema emite uma sessão ou token que permite acesso durante um período definido.
Aplicações web modernas não enviam a senha a cada requisição. Após o login inicial, geram um token (como JWT ou cookie de sessão) que o cliente envia nas chamadas seguintes. Esse padrão reduz exposição de credenciais, permite expiração controlada e facilita a revogação em caso de incidente.
Fatores de autenticação
Existem três categorias clássicas de fatores de autenticação:
- Algo que você sabe: senha, PIN, resposta de pergunta secreta, frase-passe.
- Algo que você tem: token físico (YubiKey), app TOTP (Google Authenticator, Authy), SMS, cartão inteligente, chave de hardware FIDO2.
- Algo que você é: biometria — impressão digital, reconhecimento facial, íris, voz.
Autenticação multifator (MFA) combina dois ou mais desses fatores. Segundo a Microsoft (2023), habilitar MFA bloqueia 99,2% dos ataques automatizados de comprometimento de conta.
Autenticação vs Autorização
Autenticação responde à pergunta ‘quem é você?’. Autorização responde ‘o que você pode fazer?’. Primeiro autentica-se o usuário (login), depois o sistema decide quais recursos ele pode acessar com base em permissões, papéis (roles) ou políticas (RBAC, ABAC).
Protocolos modernos
No ambiente corporativo e web, protocolos padronizados organizam o fluxo de autenticação:
- OAuth 2.0: delegação de autorização entre aplicações (IETF RFC 6749).
- OpenID Connect: camada de identidade sobre OAuth 2.0 para autenticação federada.
- SAML 2.0: SSO empresarial, muito usado com Active Directory, Azure AD e Okta.
- JWT (JSON Web Token): formato de token stateless com claims assinadas.
- WebAuthn / FIDO2: autenticação sem senha com chaves criptográficas no dispositivo.
Exemplos de autenticação na prática
- Login no WordPress com usuário e senha + 2FA via app autenticador.
- Acesso corporativo via Azure AD com SSO para dezenas de aplicações.
- Login social em sites com ‘Entrar com Google’ (OAuth 2.0 + OpenID Connect).
- Chamadas de API protegidas por JWT entre microsserviços.
- Acesso a servidor Linux via chave SSH pública em vez de senha.
- Desbloqueio de aplicativo bancário com biometria facial no celular.
Boas práticas essenciais
- Armazenar senhas com hashes modernos (argon2id, bcrypt, scrypt), nunca em texto puro ou com MD5/SHA1.
- Habilitar MFA por padrão para todas as contas administrativas e acessos sensíveis.
- Usar HTTPS obrigatório em toda transmissão de credenciais.
- Implementar rate limiting e bloqueio progressivo após tentativas falhas.
- Expirar sessões e tokens em prazo razoável e permitir revogação centralizada.
- Migrar para passkeys (WebAuthn/FIDO2) sempre que possível — eliminam phishing.
- Nunca registrar senhas, tokens ou códigos de MFA em logs de aplicação.
Autenticação é um dos tópicos mais críticos de segurança web: segundo o relatório Verizon DBIR (2024), 68% das violações de dados envolvem credenciais comprometidas, erro humano ou engenharia social — fatores diretamente ligados a autenticação fraca.
Quer entender a fundo os fatores de autenticação, protocolos como OAuth 2.0, SAML, JWT, OpenID Connect, passkeys e as boas práticas para implementar autenticação segura no seu produto? Confira nosso artigo completo sobre autenticação.
