Seja o provedor, não o cliente
"Entrar com o seu produto" é um issuer OAuth 2.1 e OpenID Connect em conformidade que você liga — não um trimestre de trabalho e uma revisão de segurança para agendar
Applications
Clients allowed to request tokens from your issuer.
| Name | Client ID | Type | Grant types | Created |
|---|---|---|---|---|
| AAAcme Analytics | acme_an_7b31d0 | confidential | authorization_coderefresh_token | 5 months ago |
| DBDeploy Bot | deploy_2f19ac | confidential | client_credentials | 2 months ago |
| FCField CLI | field_be40d5 | public | authorization_coderefresh_token | 3 weeks ago |
| LSLedger Sync | ledger_c07a91 | confidential | client_credentials | 6 days ago |
Seu ecossistema
Terceiros, ferramentas internas e agentes de IA integram do mesmo jeito, contra o mesmo issuer
Server
Your project as a standards-compliant issuer.
Endpoints
Capabilities
Ligue o servidor e o documento de discovery, o JWKS e todos os endpoints sobem juntos
Aplicações
Registre clientes, rotacione segredos e defina redirect URIs
Tela de consentimento
Seu nome, sua logo, os escopos exatos que estão sendo pedidos
Registro dinâmico
Deixe clientes se registrarem sozinhos quando for isso que você quer
Tokens com escopo
Tokens de terceiros carregam um subconjunto do que o usuário tem
O padrão, por inteiro
Não um subconjunto que funciona com uma biblioteca. Os endpoints, os metadados e as assinaturas que uma revisão de conformidade procura
Discovery OIDC
.well-known/openid-configuration, sempre em sincronia com suas configurações
JWKS
Chaves publicadas com rotação que não quebra tokens vivos
PKCE
Obrigatório para clientes públicos, porque deveria ser
Grant types
Authorization code, refresh token e client credentials
Requests
Every call the platform served, as it happened.
| Time | Method | Status | Source | Path | Message |
|---|---|---|---|---|---|
| 12:04:11.204 | POST | 200 | gateway | /auth/signin | session issued |
| 12:04:10.881 | GET | 200 | gateway | /.well-known/jwks.json | cached |
| 12:04:09.117 | POST | 401 | gateway | /auth/signin | invalid credentials |
| 12:04:08.640 | POST | 200 | oauth | /oauth/token | authorization_code exchanged |
| 12:04:07.019 | POST | 429 | gateway | /auth/signin | rate limit exceeded |
| 12:04:05.552 | POST | 502 | functions | /functions/webhook-relay | upstream unavailable |
| 12:04:04.238 | GET | 200 | gateway | /auth/session | session verified |
| 12:04:02.907 | POST | 202 | notifications | /notifications/send | email queued · email-otp-verification |
Trocas de token aparecem na trilha de requisições com a aplicação que as fez
Mantendo o controle
Ser o issuer significa poder fechar uma porta na hora
Redirects
Where the platform is allowed to send a user back to.
Anything not on this list is rejected before a token is ever issued.
Revogação por app
Derrube uma integração sem tocar nas outras
Introspecção de token
Pergunte ao issuer se um token ainda vale
Histórico de consentimento
O que cada usuário aprovou, quando, e o que já retirou
Tempos de vida
Janelas de access e refresh token definidas por aplicação
Discovery desde o primeiro minuto
Todo endpoint que um cliente OIDC espera é publicado e assinado. Qualquer coisa que fale o padrão integra sem você escrever uma linha para ela.
curl "$NULVLESS_URL/.well-known/openid-configuration"Uma plataforma, desde o primeiro usuário
Foque no seu produto. A infraestrutura de identidade é com a gente
O que você teria construído
Seis áreas, e cada uma delas é um projeto por si só.
- Autenticaçãosenhas, provedores, MFA, sessões
- AutorizaçãoRBAC, escopos, grants por recurso
- OAuth serverdiscovery OIDC, JWKS, PKCE
- Edge functionsruntime Deno, deploys, rollback
- Notificaçõestemplates, provedores, logs de entrega
- Observabilidademonitoramento, auditoria, consulta