## Introdução O [Protocolo OpenID Connect](https://openid.net/specs/openid-connect-core-1_0.html), também conhecido como OIDC, surgiu como um padrão amplamente adotado por fornecer um framework fundamental para gerenciamento de identidade. É uma camada de autenticação construída sobre o bem conhecido protocolo OAuth 2.0. Enquanto o OAuth 2.0 é apenas para autorização de recursos, o OIDC é o protocolo que padroniza e fortalece a autenticação do cliente, com a ajuda do novo token de ID introduzido. Espere... Você pode ter ouvido falar de token de atualização e token de acesso na era OAuth, e agora vem um novo conceito no OIDC? Você realmente entende as diferenças entre esses tokens? [Logto](https://logto.io/), nossa solução completa de Gestão de Identidade e Acesso do Cliente (CIAM), é construída sobre o protocolo OIDC. Em nossa comunidade, uma das perguntas mais frequentes de nossos usuários é: > **Quais são as diferenças entre um token de atualização, um token de acesso e um token de ID?** Então, neste post, vamos nos aprofundar nos principais aspectos dos tokens OIDC, enquanto também iluminamos como o Logto aprimora a experiência geral do desenvolvedor. Experimente o Logto Cloud em 5 minutos ## Vamos começar com um cenário prático Imagine que você está trabalhando em um típico aplicativo cliente-servidor, e eles se comunicam entre si através de APIs RESTful. Você deseja manter a maioria de suas APIs privadas, permitindo apenas o acesso a clientes autorizados. Então você pode se deparar com a primeira pergunta: ### Que tipo de token eu preciso para proteger minha API? A resposta rápida é: Token de acesso. No OIDC, cada API protegida é tratada como um recurso. O token de acesso é a própria credencial que o cliente transmite para o servidor ao solicitar um recurso API, geralmente via cabeçalho de solicitação. Do lado do servidor, sempre que uma solicitação chega, o servidor só precisa validar se a solicitação recebida carrega um token de acesso válido. Tokens de acesso são credenciais de curta duração que fornecem autorização para acessar recursos protegidos em nome de um usuário. Quando um usuário autentica com sucesso usando OIDC, o servidor de autorização emite um token de acesso. Este token contém informações sobre o usuário, suas permissões, e a duração de sua validade. O token é então enviado com cada pedido subsequente para o servidor de recursos, permitindo que o servidor verifique a identidade do usuário e autorize o acesso a aos recursos solicitados. No entanto, você pode pensar: Se minha aplicação cliente pode ter um token de acesso válido após um login bem-sucedido, e usar o token de acesso para solicitar APIs do servidor, isso não é suficiente? Por que preciso de tokens de atualização e tokens de ID? De fato, uma pergunta válida, e vamos explicá-la passo a passo. ### Por que precisamos de tokens de atualização? Embora tecnicamente os tokens de acesso atendam aos requisitos mínimos para fazer o sistema funcionar, no entanto, devido a preocupações de segurança a validade dos tokens de acesso é geralmente muito curta (tipicamente uma hora). Então imagine se só tivéssemos tokens de acesso, os usuários finais teriam que reautenticar toda vez que o token de acesso expirasse. Para aplicações web modernas de página única e especialmente aplicações móveis, sair frequentemente é uma experiência de usuário bastante dolorosa, mesmo que estejamos apenas tentando proteger sua segurança de usuário. Portanto, precisamos de um equilíbrio entre segurança de token e conveniência do usuário. É por isso que o OIDC introduz tokens de atualização. Um token de atualização é um token de vida longa que é usado para obter novos tokens de acesso sem exigir que o usuário se reautentique. É como uma chave para obter mais chaves. Tokens de atualização são usados quando o token de acesso expira ou precisa ser renovado. Eles têm um período de validade mais longo em comparação com tokens de acesso, muitas vezes durando por dias, semanas ou até meses. ### Por que os tokens de atualização podem ter uma vida útil mais longa? Os tokens de acesso são usados para acessar recursos de API, então sua natureza de curta duração ajuda a mitigar o risco de serem vazados ou comprometidos. Por outro lado, como os tokens de atualização são usados apenas para trocar por novos tokens de acesso, eles não são usados com tanta frequência quanto os tokens de acesso e, portanto, o risco de exposição é reduzido. Portanto, ter um período de validade mais longo é considerado aceitável para tokens de atualização. ### Garantindo a segurança do token de atualização Uma vez que o token de atualização também é armazenado do lado do cliente, garantir que eles não sejam comprometidos é um desafio, especialmente para clientes públicos, como aplicações web de página única (SPA). No Logto, os tokens de atualização têm um [mecanismo de rotação](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) automático habilitado por padrão, o que significa que o servidor de autorização emitirá um novo token de atualização uma vez que ele atenda aos critérios: - Aplicações de página única: Reconhecidas como clientes não restritos ao remetente, esses aplicativos exigem rotação de token de atualização. O tempo de vida (TTL) do token de atualização não pode ser especificado. - Aplicativos nativos e aplicativos web tradicionais: A rotação do token de atualização é inerentemente habilitada, renovando automaticamente ao atingir 70% de seu TTL. [Saiba mais](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Embora você ainda tenha a opção de desabilitar a rotação do token de atualização na página de detalhes do aplicativo no console de administração, é fortemente recomendado manter esta medida de proteção. ### A essência do token de ID O [token de ID](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) permite que o cliente obtenha informações básicas do usuário sem solicitar o servidor. O token de ID é um novo tipo de token introduzido pelo OIDC que contém informações de autenticação do usuário em cache, aprimorando o desempenho e a experiência do usuário final. Diferente dos tokens de acesso, destinados a ser entendidos apenas pelo servidor de recursos, os tokens de ID são amigáveis ao cliente. Quando o cliente faz um solicitação de troca de token OIDC, ele pode solicitar um token de ID junto com um token de acesso. O token de ID é um JSON Web Token (JWT) que contém reivindicações de usuário, como nome de usuário, email, foto do avatar, etc. Ele é assinado pelo servidor de autorização e pode ser verificado e decodificado pelo cliente offline. Isso é especialmente útil para aplicações web modernas de página única, e aplicações móveis, onde o cliente pode armazenar em cache o token de ID e usá-lo para determinar o status de autenticação do usuário, o que ajuda muito o desempenho geral e a experiência do usuário. Também é importante notar que os tokens de ID não são usados para autorizar o acesso a recursos protegidos; tokens de acesso preenchem esse papel. No Logto, também usamos o token de ID em nossos SDKs para ajudar a determinar o status de autenticação no lado do cliente. Por exemplo, em nossos [SDKs JS](https://docs.logto.io/docs/references/applications/#rotate-refresh-token), você pode ver: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` No entanto, conforme mencionado acima, a flag `isAuthenticated` do SDK do cliente é apenas um status em cache do cliente. O status de autenticação em tempo real ainda tem que ser determinado pelo servidor, através da validação dos tokens de atualização e acesso. Também fornecemos uma função `getUserClaims()` em nossos SDKs para ajudá-lo a decodificar o token de ID e obter as reivindicações do usuário. No entanto, o status em cache não é atualizado até que o usuário faça login novamente. Se você quiser buscar informações de usuário em tempo real do servidor OIDC, use `fetchUserInfo()` em vez disso. ## Benefícios e recursos do Logto O Logto é construído estritamente seguindo o protocolo OIDC, ao mesmo tempo em que oferece recursos e benefícios adicionais para desenvolvedores e empresas: 1. SDKs convenientes: os SDKs do Logto simplificam o gerenciamento de tokens para você. Você não precisa armazenar manualmente seu token de atualização e token de acesso. Basta chamar `getAccessToken()` cada vez e o SDK sempre tentará reutilizar o token de acesso armazenado, ou renová-lo automaticamente se estiver expirado. 2. Rotação do token de atualização: O Logto impõe o mecanismo de rotação do token de atualização para garantir que seu token de atualização esteja sempre renovado após ser consumido, o que mitigates o risco de ser vazado ou comprometido. Embora você ainda possa desabilitá-lo no console de administração, é fortemente recomendado mantê-lo ativado. 3. Desempenho otimizado: Com a ajuda dos tokens de ID, você sempre pode obter informações básicas do usuário sem solicitar ao servidor. Use o status `isAuthenticated` e a função `getIdTokenClaims()` fornecidos pelos SDKs do Logto para verificar o status de autenticação do usuário e decodificar as reivindicações do usuário no lado do cliente. 4. Segurança aprimorada: O Logto impõe conexões seguras entre o cliente e o servidor de autorização usando HTTPS e TLS. Isso protege seus tokens contra possíveis roubos por terceiros não autorizados e garante a segurança de seu sistema. ## Conclusão No protocolo OIDC, os tokens de atualização, tokens de acesso e tokens de ID trabalham juntos para fornecer autenticação segura e sem interrupções para o usuário. - Tokens de atualização eliminam a intervenção do usuário para novos tokens de acesso. - Tokens de acesso fornecem autorização para acessar recursos protegidos. - Tokens de ID fornecem informações de usuário em cache no cliente, aprimorando o desempenho. Entender o papel e a significância desses tokens é crucial para desenvolvedores implementarem autenticação OIDC em suas aplicações. Ao escolher o Logto, desenvolvedores e empresas podem desbloquear todo o potencial desses recursos OIDC, integrando sistemas de autenticação robustos e seguros que protegem os dados do usuário e proporcionam uma experiência de usuário contínua. Experimente o Logto Hoje