Autenticação é o processo de verificar a identidade de um usuário, dispositivo ou sistema antes de conceder acesso a recursos protegidos. É o portão de entrada de qualquer aplicação segura: sem autenticação confiável, todas as outras camadas de controle de acesso tornam-se inúteis.
É comum confundir autenticação com autorização, mas são conceitos distintos. Autenticação responde ‘quem é você?’; autorização responde ‘o que você pode fazer?’. Primeiro o sistema verifica a identidade (login com senha + MFA, por exemplo), depois decide quais recursos aquela identidade pode acessar com base em papéis e políticas.
TL;DR
- O que é: processo de verificar a identidade de quem acessa um sistema, usando um ou mais fatores — algo que você sabe, tem ou é.
- Por que importa: segundo o Verizon DBIR (2024), 68% das violações envolvem credenciais comprometidas; autenticação fraca é a porta de entrada da maioria dos ataques.
- Quando usar: em qualquer aplicação com dados sensíveis, APIs internas, área administrativa, acesso a servidores, pagamentos e serviços corporativos.
Como funciona a autenticação?
Autenticação é o processo técnico que valida uma declaração de identidade confrontando credenciais apresentadas pelo usuário com uma fonte confiável, emitindo uma sessão ou token quando o resultado é positivo.
O fluxo típico tem três passos: o cliente envia a credencial (senha, código TOTP, chave privada); o servidor valida contra o repositório de identidades (banco de dados com hash, Active Directory, provedor OIDC); e, em caso de sucesso, emite um identificador de sessão — cookie assinado, JWT ou ticket Kerberos — que o cliente apresenta nas requisições seguintes para evitar reenviar a senha a cada chamada.
Os 3 fatores de autenticação
Segundo o NIST SP 800-63 (2020), existem três categorias clássicas de fatores:
- Algo que você sabe: senha, PIN, frase-passe, resposta de pergunta secreta. É o fator mais comum e também o mais fraco isoladamente — vulnerável a phishing, vazamentos e força bruta.
- Algo que você tem: token físico (YubiKey, SmartCard), aplicativo gerador de códigos TOTP (Google Authenticator, Authy, Microsoft Authenticator), SMS (menos seguro por causa de SIM swap), push notification em app corporativo.
- Algo que você é: biometria — impressão digital, reconhecimento facial, íris, voz, padrão de digitação. Normalmente processada no próprio dispositivo (Secure Enclave, TPM), não enviada ao servidor.
MFA (Multi-Factor Authentication)
MFA é a combinação de dois ou mais fatores de categorias diferentes, exigindo que o atacante comprometa canais independentes para ter sucesso. Segundo a Microsoft (2023), habilitar MFA bloqueia 99,2% dos ataques automatizados de comprometimento de conta.
Nem todo MFA tem a mesma força. TOTP (RFC 6238) via app autenticador é significativamente mais seguro que SMS — segundo o Okta State of Secure Identity Report (2023), SMS é vulnerável a SIM swap em cerca de 1 a cada 1.000 contas atacadas em campanhas direcionadas. A opção mais robusta hoje é WebAuthn/FIDO2 com chave de hardware ou passkey, que é imune a phishing porque a assinatura está vinculada ao domínio.
Autenticação vs Autorização
| Dimensão | Autenticação | Autorização |
|---|---|---|
| Quando acontece | No login / início da sessão | A cada requisição a um recurso |
| Pergunta que responde | Quem é você? | O que você pode fazer? |
| Exemplo | Validar senha + código TOTP | Verificar se o papel ‘editor’ pode deletar post |
| Falha típica | Credenciais inválidas (401 Unauthorized) | Permissão negada (403 Forbidden) |
| Protocolo | OIDC, SAML, LDAP, Kerberos | OAuth 2.0, RBAC, ABAC, políticas IAM |
Protocolos modernos
- OAuth 2.0: framework de autorização delegada padronizado pela IETF RFC 6749 (2012). Permite que uma aplicação acesse recursos de um usuário em outro serviço sem receber a senha.
- OpenID Connect (OIDC): camada de identidade construída sobre OAuth 2.0, adiciona ID Token com claims padronizadas de identidade. É o padrão de autenticação federada moderna.
- SAML 2.0: padrão XML para SSO empresarial, dominante em integrações com Active Directory, Azure AD, Okta e Ping Identity.
- JWT: formato de token compacto, stateless, assinado digitalmente, muito usado como access token em APIs REST.
JWT (JSON Web Token) explicado
JWT é um token estruturado em três partes separadas por ponto — header.payload.signature — codificadas em Base64URL. O header indica o algoritmo de assinatura; o payload carrega claims como iss (emissor), sub (sujeito), exp (expiração), aud (audiência); a signature prova integridade e origem.
Segundo a OWASP (2023), os riscos mais comuns em JWT são: aceitar o algoritmo none (desativando a verificação), confusão entre HS256 e RS256 (permitindo falsificação com a chave pública), armazenar JWT em localStorage (vulnerável a XSS) e não implementar revogação (um JWT roubado vale até expirar).
OAuth 2.0 flows principais
- Authorization Code: fluxo padrão para aplicações web com backend. Mais seguro, pois o token nunca passa pelo navegador.
- Authorization Code + PKCE: extensão obrigatória para apps móveis e SPAs (Single Page Applications). Protege contra interceptação do código.
- Client Credentials: para comunicação server-to-server sem usuário envolvido (microsserviços, integrações B2B).
- Refresh Token: permite renovar access tokens expirados sem novo login, armazenado com cuidado extra (idealmente rotativo).
SSO e Federation
Single Sign-On permite que o usuário faça login uma vez e acesse múltiplas aplicações. No ambiente corporativo, SAML 2.0 é dominante — integração com Active Directory Federation Services (ADFS), Azure AD, Okta. No consumer, OpenID Connect é o padrão (Login com Google, Login com Microsoft). Para provisionamento automático de usuários entre sistemas, usa-se SCIM (System for Cross-domain Identity Management, RFC 7643/7644).
Passwordless e Passkeys
A tendência mais relevante dos últimos anos é a eliminação da senha. Passkeys, baseadas em WebAuthn/FIDO2, usam criptografia assimétrica: o dispositivo guarda a chave privada no Secure Enclave e assina desafios do servidor. Segundo o relatório FIDO Alliance (2024), passkeys reduzem taxas de phishing a praticamente zero e aumentam taxas de login bem-sucedido em 2 a 4 vezes versus senha + OTP. Outras alternativas passwordless incluem magic links por email e autenticação biométrica no dispositivo.
Exemplos práticos / casos de uso B2B
- SSO corporativo com Azure AD: indústria com 500 colaboradores integra ERP, CRM, intranet e e-commerce B2B via SAML; onboarding e offboarding automatizados reduzem tempo de provisionamento de 2 dias para 10 minutos.
- API gateway com JWT: SaaS valida JWT emitido por servidor OIDC em cada chamada, propagando o
subaos microsserviços downstream para RBAC fino. - Login social com OAuth 2.0: portal de leads industrial oferece ‘Entrar com LinkedIn’ via OIDC, elevando taxa de cadastro em 32% versus formulário tradicional.
Erros comuns em autenticação
- Armazenar senhas em plaintext ou com MD5/SHA1, que são quebráveis em segundos com hardware comum.
- Aceitar JWT com algoritmo
noneou não validaralg,expeaud. - Usar SMS como único segundo fator em contas administrativas — vulnerável a SIM swap.
- Sessões sem expiração, sem rotação após login e sem revogação centralizada.
- Registrar senhas, tokens ou códigos MFA em logs de aplicação ou mensagens de erro.
Hashing de senhas: bcrypt, argon2, scrypt
Senhas nunca devem ser armazenadas em texto puro, nem com hashes rápidos como MD5 ou SHA1. O padrão moderno é argon2id, vencedor da Password Hashing Competition (2015) e recomendado pela OWASP Password Storage Cheat Sheet (2023). Alternativas aceitáveis são bcrypt (ainda muito usado, com work factor >= 12) e scrypt. Todos devem usar salt único por usuário e work factor alto o suficiente para que cada hash leve mais de 100ms, inviabilizando ataques de força bruta em larga escala.
Como implementar autenticação segura — passo a passo
- Escolha um provedor de identidade (Auth0, Keycloak, Azure AD, AWS Cognito) em vez de implementar do zero.
- Use HTTPS em tudo, com HSTS e cookies
Secure+HttpOnly+SameSite=Lax. - Armazene senhas com argon2id (salt único, work factor adequado).
- Habilite MFA por padrão em contas administrativas; prefira TOTP ou WebAuthn ao SMS.
- Defina expiração curta para access tokens (15-60 min) e rotacione refresh tokens.
- Implemente rate limiting, bloqueio progressivo e alertas de login anômalo.
- Faça auditoria periódica contra OWASP ASVS (Application Security Verification Standard) nível 2.
Autenticação e a Shiftmind
Autenticação robusta é parte essencial de qualquer projeto digital sério. Na criação de sites WordPress, aplicamos MFA, políticas de senha forte e proteção contra ataques de força bruta no login desde o primeiro dia. Em suporte e manutenção WordPress, revisamos continuamente usuários administrativos, revogamos acessos antigos e implementamos login via Application Passwords para integrações seguras.
Nossa hospedagem WordPress e os servidores dedicados da Shiftmind incluem autenticação SSH por chave pública, firewall na camada de rede e monitoramento de tentativas de acesso. O serviço de proteção antivírus para websites complementa a autenticação com detecção de credenciais vazadas e bloqueio automático de IPs suspeitos. A Shiftmind atua em segurança de aplicações web há mais de 12 anos.
Perguntas frequentes sobre autenticação
Qual a diferença entre autenticação e autorização?
Autenticação verifica a identidade (quem é você?), enquanto autorização define permissões (o que você pode fazer?). A autenticação acontece no login e é confirmada por credenciais; a autorização ocorre a cada requisição a um recurso, baseada em papéis (roles), grupos ou políticas. Um erro de autenticação retorna HTTP 401 Unauthorized; um erro de autorização retorna HTTP 403 Forbidden. Os dois conceitos trabalham juntos, mas usam mecanismos técnicos distintos: OIDC/SAML/LDAP para autenticação e OAuth 2.0/RBAC/ABAC para autorização.
MFA via SMS é seguro?
SMS é melhor que nenhum MFA, mas é a opção mais fraca. Ataques de SIM swap, interceptação de SS7 e phishing permitem a atacantes receber o código no lugar da vítima. O NIST SP 800-63B (2020) classifica SMS como fator ‘restrito’ e recomenda substituí-lo por TOTP (app autenticador) ou WebAuthn/FIDO2. Para contas administrativas, financeiras ou com acesso a dados sensíveis, SMS como único segundo fator não é mais considerado adequado.
Posso usar JWT para sessões de usuário?
É possível, mas exige cuidados. JWT é stateless — uma vez emitido, vale até expirar e não pode ser facilmente revogado. Para sessões de usuário em aplicações web, cookies de sessão com estado no servidor costumam ser mais simples e seguros. Se usar JWT, mantenha expiração curta (15-30 min), armazene em cookie HttpOnly (não em localStorage), implemente refresh tokens rotativos e tenha uma lista de revogação para casos de incidente ou logout.
O que são passkeys?
Passkeys são credenciais sem senha baseadas no padrão WebAuthn/FIDO2. O dispositivo do usuário (celular, laptop) guarda uma chave privada no Secure Enclave; o servidor armazena apenas a chave pública. Durante o login, o servidor envia um desafio, o dispositivo assina com a chave privada após verificar o usuário por biometria ou PIN, e o servidor valida com a pública. Passkeys são imunes a phishing porque a assinatura é vinculada ao domínio original.
OAuth 2.0 é um protocolo de autenticação?
Não. OAuth 2.0 é um framework de autorização delegada, não de autenticação. Ele permite que uma aplicação acesse recursos de um usuário em outro serviço, mas o padrão em si não transporta identidade. Para autenticação, usa-se OpenID Connect, que é construído sobre OAuth 2.0 e adiciona o ID Token com claims de identidade padronizadas. Confundir os dois é uma fonte comum de falhas de segurança.
Termos relacionados
- API Gateway
- Atomic Operation
- Async/Await
- Arquitetura Event-Driven
- ActiveRecord
- ACL (Access Control List)
Conclusão
Autenticação é a fundação da segurança digital: sem ela, nenhum outro controle importa. Dominar fatores (sabe/tem/é), MFA, protocolos (OAuth 2.0, OIDC, SAML, JWT) e boas práticas de armazenamento de credenciais é obrigatório para qualquer time de produto ou operações hoje. A tendência clara é a eliminação da senha com passkeys e autenticação baseada em criptografia assimétrica, imune a phishing e vazamento em massa.
Última atualização: Novembro/2026
Precisa implementar autenticação segura no seu projeto web, revisar o SSO corporativo ou proteger uma aplicação WordPress contra ataques de credencial? A Shiftmind pode ajudar — entre em contato.
