## Introdução O [Protocolo OpenID Connect](https://openid.net/specs/openid-connect-core-1_0.html), também conhecido como OIDC, surgiu como um padrão amplamente adotado para fornecer um framework fundamental para o gerenciamento de identidade. É uma camada de autenticação construída em cima do bem conhecido protocolo OAuth 2.0. Enquanto OAuth 2.0 é apenas para autorização de recursos, o OIDC é o protocolo que padroniza e fortalece a autenticação do cliente, com a ajuda do novo token de ID introduzido. Espere... Você pode ter ouvido falar de token de atualização e token de acesso na era do OAuth, e agora surge um novo conceito no OIDC? Você realmente entende as diferenças entre esses tokens? [Logto](https://logto.io/), nossa solução abrangente de gerenciamento de identidade e acesso do cliente (CIAM), é construída em cima do protocolo OIDC. Em nossa comunidade, uma das perguntas mais frequentes de nossos usuários é: > **Quais são as diferenças entre um token de atualização, um token de acesso e um token de ID?** Então, neste post, vamos mergulhar nos principais aspectos dos tokens OIDC, ao mesmo tempo que iluminamos como o Logto melhora a experiência geral do desenvolvedor. Experimente o Logto Cloud em 5 minutos ## Vamos começar com um cenário prático Imagine que você está trabalhando em uma aplicação cliente-servidor típica, e eles se comunicam entre si através de APIs RESTful. Você quer manter a maioria das suas APIs privadas, permitindo apenas clientes autorizados a acessar. Então você pode surgir com a primeira pergunta: ### Que tipo de token preciso para proteger minha API? A resposta rápida é: Token de acesso. No OIDC, cada API protegida é tratada como um recurso. O token de acesso é a credencial que o cliente transmite ao servidor ao solicitar um recurso de API, normalmente através do cabeçalho da solicitação. Do lado do servidor, sempre que uma solicitação chega, o servidor só precisa validar se a solicitação de entrada carrega um token de acesso válido. Um token de acesso é uma credencial de vida curta que fornece autorização para acessar recursos protegidos em nome de um usuário. Quando um usuário autentica com sucesso usando OIDC, o servidor de autorização emite um token de acesso. Este token contém informações sobre o usuário, suas permissões e a duração de sua validade. O token é então enviado com cada solicitação subsequente para o servidor de recursos, permitindo que o servidor verifique a identidade do usuário e autorize o acesso a os recursos solicitados. No entanto, você pode ponderar: Se minha aplicação cliente pode ter um token de acesso válido após um login bem sucedido, e usar o token de acesso para solicitar APIs do servidor, isso não é suficiente? Por que preciso de tokens de atualização e tokens de ID? De fato, uma pergunta válida, e vamos explicá-la passo a passo. ### Por que precisamos de tokens de atualização? Embora tecnicamente os tokens de acesso atendam aos requisitos mínimos para fazer o sistema funcionar, no entanto, devido a preocupações de segurança a validade dos tokens de acesso são geralmente muito curtos (geralmente uma hora). Então imagine se só tivéssemos tokens de acesso, os usuários finais teriam que reautenticar todas as vezes que o token de acesso expirasse. Para aplicações web modernas de página única e especialmente aplicações móveis, deslogar frequentemente é uma experiência de usuário bastante dolorosa, mesmo que estejamos apenas tentando proteger a sua segurança de usuário. Portanto, precisamos de um equilíbrio entre a segurança do token e a conveniência do usuário. É por isso que o OIDC introduz tokens de atualização. Um token de atualização é um token de vida mais longa que é usado para obter novos tokens de acesso sem requerer o usuário a reautenticar. É como uma chave para obter mais chaves. Tokens de atualização são usados quando o o token de acesso expira ou precisa ser renovado. Eles têm um período de validade mais longo em comparação com os tokens de acesso, muitas vezes durando dias, semanas, ou até meses. ### Por que os tokens de atualização podem ter uma vida útil mais longa? Os tokens de acesso são usados para acessar recursos de API, então sua natureza de vida curta ajuda a mitigar o risco de serem vazados ou comprometidos. Por outro lado, como os tokens de atualização são usados apenas para trocar por novos tokens de acesso, eles não são usados com tanta frequência quanto os tokens de acesso e, portanto, o risco de exposição é reduzido. Portanto, ter um período de validade mais longo é considerado aceitável para tokens de atualização. ### Garantindo a segurança do token de atualização Como o token de atualização também é armazenado no lado do cliente, garantir sua não comprometimento é um desafio, especialmente para clientes públicos, como aplicações web de página única (SPA). No Logto, os tokens de atualização têm um [mecanismo de rotação](https://datatracker.ietf.org/doc/html/draft-ietf-oauth-security-topics-13#section-4.12) automático habilitado por padrão, o que significa que o servidor de autorização emitirá um novo token de atualização assim que este atender aos critérios: - Aplicações de página única: Reconhecidas como clientes não restritos ao remetente, estas aplicações requerem rotação de token de atualização. O tempo de vida (TTL) do token de atualização não pode ser especificado. - Aplicações nativas e aplicações web tradicionais: A rotação do token de atualização é intrinsecamente habilitada, renovando-se automaticamente ao atingir 70% de seu TTL. [Aprenda mais](https://docs.logto.io/docs/references/applications/#rotate-refresh-token) Embora você ainda tenha a opção de desativar a rotação do token de atualização na página de detalhes do aplicativo no console de administração, é fortemente recomendado manter esta medida de salvaguarda. ### A essência do token de ID [O token de ID](https://openid.net/specs/openid-connect-core-1_0.html#IDToken) permite ao cliente obter informações básicas do usuário sem solicitar ao servidor. O token de ID é um novo tipo de token introduzido pelo OIDC que detém informações autenticadas de usuários em cache, melhorando o desempenho e a experiência do usuário final. Ao contrário dos tokens de acesso, destinados a serem entendidos apenas pelo servidor de recursos, os tokens de ID são amigáveis ao cliente. Quando o cliente faz uma solicitação de troca de token OIDC, ele pode solicitar um token de ID junto com um token de acesso. O token de ID é um Token Web JSON (JWT) que contém reivindicações de usuários, como nome de usuário, email, foto de avatar, etc. Ele é assinado pelo servidor de autorização e pode ser verificado e decodificado pelo cliente offline. Isto é especialmente útil para aplicações web modernas de uma única página, e aplicações móveis, onde o cliente pode armazenar o token de ID em cache e usá-lo para determinar o status de autenticação do usuário, o que ajuda muito o desempenho global e a experiência do usuário. É importante notar também que os tokens de ID não são usados para autorizar o acesso a recursos protegidos; esse papel é desempenhado pelos tokens de acesso. No Logto, também usamos o token de ID em nossos SDKs para ajudar a determinar o status de autenticação no lado do cliente. Por exemplo, em nossos [SDKs JS](https://docs.logto.io/docs/references/applications/#rotate-refresh-token), você pode ver: ```tsx const isAuthenticated = Boolean(await this.getIdToken()); ``` No entanto, como mencionado acima, a bandeira `isAuthenticated` do SDK do cliente é apenas um status armazenado em cache do cliente. O status de autenticação em tempo real ainda tem que ser determinado pelo servidor, através da validação dos tokens de atualização e acesso. Nós também fornecemos uma função `getUserClaims()` em nossos SDKs para ajudá-lo a decodificar o token de ID e obter as reivindicações do usuário. No entanto, o status armazenado em cache não é atualizado até que o usuário faça login novamente. Se você quiser buscar informações do usuário em tempo real do servidor OIDC, use `fetchUserInfo()` em vez disso. ## Benefícios e recursos do Logto Logto é construído estritamente seguindo o protocolo OIDC, ao mesmo tempo que oferece recursos e benefícios adicionais para desenvolvedores e empresas: 1. SDKs convenientes: Os SDKs do Logto simplificam o gerenciamento de tokens para você. Você não tem que armazenar manualmente seu token de atualização e token de acesso. Basta chamar `getAccessToken()` toda vez e o SDK sempre tentará reutilizar o token de acesso armazenado, ou renová-lo automaticamente se estiver expirado. 2. Rotação do token de atualização: Logto aplica o mecanismo de rotação do token de atualização para garantir que seu token de atualização seja sempre renovado depois de ser consumido, o que mitiga o risco de ser vazado ou comprometido. Embora você ainda possa desativá-lo no console de administração, é altamente recomendado mantê-lo ativado. 3. Desempenho otimizado: Com a ajuda dos tokens de ID, você sempre pode obter informações básicas do usuário sem solicitar ao servidor. Utilize o status `isAuthenticated` e a função `getIdTokenClaims()` fornecidos pelos SDKs do Logto para verificar o status de autenticação do usuário e decodificar as reivindicações do usuário no lado do cliente. 4. Segurança aprimorada: Logto aplica conexões seguras entre o cliente e o servidor de autorização usando HTTPS e TLS. Isso protege seus tokens contra roubo potencial por terceiros não autorizados e garante a segurança do seu sistema. ## Conclusão No protocolo OIDC, Tokens de Atualização, Tokens de Acesso e Tokens de ID trabalham juntos para fornecer autenticação de usuário segura e contínua. - Tokens de atualização eliminam a intervenção do usuário para novos tokens de acesso. - Tokens de acesso fornecem autorização para acessar recursos protegidos. - Tokens de ID fornecem informações de usuário em cache no cliente, melhorando o desempenho. Entender o papel e a importância destes tokens é crucial para desenvolvedores que implementam autenticação OIDC em suas aplicações. Ao escolher o Logto, desenvolvedores e empresas podem desbloquear todo o potencial desses recursos OIDC, integrando sistemas de autenticação robustos e seguros que protegem os dados do usuário e proporcionam uma experiência de usuário perfeita. Experimente o Logto hoje