Autenticação OAuth2: Implementando login seguro com Authentik

A autenticação é o componente mais crítico para a segurança de qualquer aplicativo Web, mas 61% das violações de dados envolvem credenciais comprometidas. A implementação do OAuth2 com um provedor de identidade dedicado como o Authentik separa as preocupações de autenticação da lógica do aplicativo, permitindo logon único, MFA e gerenciamento centralizado de usuários.

Principais conclusões

• O fluxo do código de autorização OAuth2 com PKCE é o padrão recomendado para aplicativos da web
• Authentik fornece um provedor de identidade auto-hospedado com suporte OIDC, SAML e LDAP
• Cookies HttpOnly para armazenamento de token evitam roubo de token baseado em XSS
• Códigos de troca únicos com TTL curto evitam a exposição de tokens em URLs

---

Visão geral do fluxo OAuth2

Fluxo de código de autorização com PKCE

1. O usuário clica em Login: o aplicativo redireciona para o endpoint de autorização Authentik
2. Usuário autenticado: Credenciais (e MFA) inseridas na página de login do Authentik
3. Código de autorização emitido: Authentik redireciona de volta com um código de curta duração
4. Troca de tokens: código de troca de back-end para tokens de acesso e atualização
5. Sessão estabelecida: Tokens armazenados em cookies HttpOnly

Esse fluxo garante que as credenciais nunca toquem em seu aplicativo, que os tokens sejam trocados de servidor para servidor e que o código de autorização seja de uso único com TTL curto.

---

Configuração autêntica

Configuração do provedor

Crie um provedor OAuth2/OIDC no Authentik com tipo de cliente confidencial, ID de cliente exclusivo, segredo de cliente forte, URIs de redirecionamento exatos, escopos de openid/perfil/e-mail e tempos de vida de token apropriados (acesso: 5 a 15 minutos, atualização: 7 a 30 dias).

Vincule o provedor a um aplicativo Authentik para controlar o acesso por meio de políticas baseadas em associação a grupos, atributos ou restrições de IP.

Autenticação multifator

Configure opções de MFA: TOTP (Google Authenticator, Authy), WebAuthn (chaves de segurança de hardware, biometria) e códigos SMS/E-mail como substituto.

---

Implementação de back-end

Redirecionamento de autorização

Redirecione usuários para Authentik com client_id, response_type=code, redirect_uri, escopos, um parâmetro de estado aleatório (proteção CSRF) e PKCE code_challenge.

Troca de Tokens

No retorno de chamada, troque o código de autorização de servidor para servidor com grant_type=authorization_code, o código recebido, redirect_uri, credenciais do cliente e PKCE code_verifier. A resposta contém informações de access_token, refresh_token, id_token e expiração.

Armazenamento seguro de tokens

Nunca armazene tokens em localStorage ou sessionStorage – eles são acessíveis a qualquer JavaScript, incluindo cargas XSS. Use cookies HttpOnly com sinalizador Secure, SameSite=Lax e expiração apropriada.

---

Integração de front-end

Fluxo de login

O usuário clica em Entrar, o frontend redireciona para o URL de autorização, o usuário é autenticado no Authentik (seu aplicativo nunca vê as credenciais), o Authentik redireciona de volta com o código, o backend troca o código e define cookies HttpOnly, o frontend chama o endpoint da sessão para os dados atuais do usuário.

Gerenciamento de sessão

Crie um gancho useAuth() que chama GET /auth/session na montagem. Retorne os dados do usuário se estiver autenticado, redirecione para login se não estiver. Ao sair, chame POST /auth/logout para limpar os cookies.

Rotas Protegidas

Use middleware para redirecionar usuários não autenticados antes da renderização da página. No Next.js, o arquivo proxy.ts trata disso verificando cookies de autenticação em rotas protegidas.

---

Melhores práticas de segurança

Segurança de token

• Exclusivamente cookies HttpOnly – nunca exponha tokens a JavaScript
• Vida útil curta do token de acesso (5 a 15 minutos)
• Atualização de token com rotação (novo token de atualização a cada uso)
• Segredo do cliente armazenado apenas no backend, nunca no código frontend

Redirecionar Segurança

• Valide todos os URLs de redirecionamento em uma lista de permissões
• Rejeitar redirecionamentos começando com // (URLs relativos ao protocolo)
• Nunca inclua tokens em parâmetros de URL
• Use códigos de troca únicos com TTL de 60 segundos

Segurança da Sessão

• Regenerar identificadores de sessão após autenticação
• Implementar timeout ocioso (30 minutos) e timeout absoluto (8 horas)
• Registrar todos os eventos de autenticação para trilhas de auditoria
• Tentativas de login com limite de taxa para evitar força bruta

---

Recursos Avançados do Authentik

Cadastro de usuário

Configure o registro de usuário de autoatendimento com fluxos de inscrição personalizáveis. Defina campos obrigatórios, etapas de verificação de e-mail e fluxos de trabalho de aprovação para novas contas.

Personalização da marca

Aplique CSS, logotipos e temas personalizados à página de login do Authentik para uma experiência de marca perfeita. A marca personalizada deve ser aplicada por meio de montagens de volume CSS ou do campo Django ORM branding_custom_css.

Federação de usuários

Conecte o Authentik a diretórios de usuários externos por meio de sincronização LDAP/Active Directory, permitindo que usuários corporativos existentes se autentiquem sem recriação de conta.

---

Perguntas frequentes

P: Por que Authentik em vez de Auth0 ou Keycloak?

Authentik é auto-hospedado (controle total de dados), de código aberto e possui uma interface de usuário moderna. Auth0 é SaaS com preços crescentes por usuário. Keycloak é auto-hospedado, mas tem uma curva de aprendizado mais acentuada e uma interface de usuário mais antiga. Authentik equilibra recursos, usabilidade e custo.

P: O Authentik consegue lidar com milhares de usuários?

Sim. Construído em Django e PostgreSQL, o Authentik lida com grandes bases de usuários. Para mais de 100.000 usuários, garanta recursos de banco de dados adequados e considere o dimensionamento horizontal.

P: Como implementamos o SSO em vários aplicativos?

Configure cada aplicativo como um aplicativo Authentik separado com seu próprio provedor. Os usuários são autenticados uma vez e são automaticamente conectados a todos os aplicativos conectados por meio da sessão Authentik.

P: E quanto ao login social?

Authentik oferece suporte a fontes de login social prontas para uso - Google, GitHub, Microsoft e outros provedores OAuth2. Os usuários podem vincular contas sociais à sua identidade Authentik para um login conveniente.

---

O que vem a seguir

OAuth2 com um provedor de identidade dedicado é a melhoria de segurança mais impactante para a maioria dos aplicativos web. Ele elimina o manuseio de credenciais, habilita MFA e fornece registro de auditoria centralizado.

Entre em contato com a ECOSIRE para obter ajuda na implementação de autenticação ou explore nossos serviços de implementação Odoo para implantação segura de ERP.

---

Publicado pela ECOSIRE – ajudando empresas a escalar com soluções de software empresarial.