OAuth, JWT e gateways: separar controlos de segurança

Escolher o papel antes da ferramenta

Um token de acesso OAuth pode ser opaco ou usar JWT. Descodificar JWT não verifica autenticidade; um JWT assinado não cifra automaticamente o conteúdo. Um gateway não substitui autorização de negócio nos serviços.

Validar o protocolo e cada acesso

• Escolha um fluxo adequado ao cliente. Nos percursos de utilizador, siga recomendações atuais de código de autorização e PKCE, com biblioteca mantida e redirecionamentos rigorosamente controlados.
• Para um JWT aceite, verifique assinatura, algoritmos permitidos, emissor, destinatário e restrições temporais do perfil. Rejeite tokens destinados a outro uso.
• Controle cada objeto, ação e organização. Teste acessos entre contas com dados fictícios; um papel ou âmbito geral nem sempre basta.

Prever validade, revogação e incidentes

Documente renovação, rotação de chaves, perda de segredos e estratégia de revogação. A verificação local não conhece automaticamente uma revogação remota. Minimize dados e registos; nem JWT nem quotas garantem por si só segurança ou conformidade.

Fontes primárias

• IETF RFC 9700 — OAuth 2.0 Security Best Current Practice [EN]
• IETF RFC 8725 — JWT Best Current Practices [EN]
• OpenID Foundation — OpenID Connect Core 1.0 [EN]
• OWASP — Authorization Cheat Sheet [EN]

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}

{
    "issuance_succeeded": true,
    "proxy_count": 2,
    "proxies_serving_expected_certificate": 1,
    "other_proxy_certificate_expired": true,
    "tls_verification_enabled": true,
    "expected": "change_incomplete_fix_and_verify_client_paths"
}