O que é OAuth? “Entrar com o Google” e acesso delegado explicados

OAuth é um padrão aberto que permite a um usuário dar a um app acesso limitado à sua conta em outro serviço, sem entregar a senha. Quando você clica em “Conectar Google Agenda” e aparece uma tela perguntando “Permitir que este app veja seus eventos?”, isso é OAuth. O app recebe um token apenas para o que você aprovou, e você pode revogar esse acesso a qualquer momento. A mesma engrenagem, com uma camada extra chamada OpenID Connect, sustenta o “Entrar com o Google” e botões semelhantes.

Por que o OAuth importa quando você cria apps com IA

O OAuth aparece em duas situações comuns ao criar um app:

1. Login social. Você quer que seus usuários “Entrem com o Google” (ou Apple, Microsoft, GitHub) em vez de criar mais uma senha. Veja como adicionar login ao seu app.
2. Conectar às contas dos usuários em outros serviços. Seu app precisa ler a agenda de um usuário, publicar na conta dele em uma rede social, buscar arquivos no drive dele ou sincronizar dados contábeis.

Em ambos os casos, sua ferramenta de IA pode escrever o código, mas algumas etapas só você pode fazer: criar um app de desenvolvedor no provedor, obter um client ID e um client secret, registrar as URLs de callback e, para algumas permissões, passar pela análise do provedor. Entender como o OAuth funciona torna essas etapas — e os erros que elas geram — bem menos misteriosas. Para a visão geral do login, veja o que é autenticação.

Uma analogia do dia a dia

Pense em um cartão de chave de hotel. No check-in, a recepção confirma quem você é e entrega um cartão que abre o seu quarto e a academia — não os outros quartos, nem as áreas dos funcionários — e deixa de funcionar na hora do check-out. O cartão não contém o seu passaporte. Se você perder o cartão, a recepção o cancela e emite outro.

• A recepção é o servidor de autorização (a página de login do Google).
• A sua identificação é você entrando na conta do Google.
• O cartão de chave é o access token.
• “Só o quarto e a academia” são os escopos que você aprovou.
• O check-out é o token expirando, ou você revogando o acesso.

O app que você está usando nunca vê a sua senha do Google, apenas o cartão de chave.

Como o OAuth funciona, passo a passo

O fluxo mais comum para apps web é o fluxo de código de autorização. Veja o que acontece quando um usuário conecta a sua Google Agenda a um app de agendamento:

1. Clique. O usuário clica em “Conectar Google Agenda”.
2. Redirecionamento ao provedor. O app envia o navegador ao Google com o seu client ID, os escopos que deseja (ler eventos da agenda) e o redirect URI, para onde o Google deve devolver o usuário.
3. Login e consentimento. O usuário entra na conta do Google (se ainda não estiver logado) e vê uma tela de consentimento listando o que o app pede. Ele clica em Permitir.
4. De volta com um código. O Google redireciona o navegador para o redirect URI do app com um código de autorização de uso único e curta duração.
5. Troca no servidor. O servidor do app envia esse código, junto com o seu client secret, diretamente ao Google e recebe um access token (e, muitas vezes, um refresh token).
6. Usar a API. O servidor chama a API da Google Agenda com o access token e obtém os eventos do usuário.

O callback do passo 4 tem mais ou menos esta cara:

https://seuapp.com/auth/google/callback?code=4/0Adeu5B...&state=x7Kq9

E a resposta com o token, no passo 5, é um JSON como este:

{
  "access_token": "ya29.a0Af...",
  "expires_in": 3599,
  "refresh_token": "1//0gL...",
  "scope": "https://www.googleapis.com/auth/calendar.readonly",
  "token_type": "Bearer"
}

O ponto importante do desenho: a troca do token acontece de servidor para servidor, então o client secret e os tokens nunca precisam passar pelo navegador.

OAuth vs OpenID Connect vs login próprio

Muitos apps combinam os três: login com e-mail e senha, mais “Entrar com o Google” via OIDC, mais conexões OAuth separadas com outros serviços.

Termos principais

Ideias equivocadas comuns

• “OAuth é um sistema de login.” O OAuth puro concede acesso; o OpenID Connect cuida da identidade. Usar um access token simples como prova de quem é alguém já causou falhas de segurança reais.
• “O app recebe a minha senha.” Nunca recebe. Esse é justamente o objetivo.
• “Pedir mais escopos não faz mal.” Os usuários desconfiam de pedidos amplos, e provedores como o Google podem exigir análise do app para escopos sensíveis ou restritos. Peça apenas o que você precisa.
• “O client secret pode ficar no frontend.” Tudo que está no código do navegador é público. Mantenha-o em segredos do lado do servidor.
• “Funcionou nos testes, então vai funcionar em produção.” Os provedores costumam limitar apps não verificados — por exemplo, a usuários de teste listados —, e a URL de redirecionamento do seu domínio ativo precisa ser registrada separadamente.
• “Os tokens duram para sempre.” Access tokens expiram rápido, e os usuários podem revogar o acesso. Seu app precisa lidar com as duas situações com elegância.

O que pedir à sua ferramenta de IA

• “Adicione ‘Entrar com o Google’ usando OpenID Connect com uma biblioteca de autenticação bem mantida — não escreva o fluxo OAuth na mão.”
• “Use o fluxo de código de autorização com PKCE e verifique o parâmetro state.”
• “Leia o client ID e o client secret das variáveis de ambiente no servidor.”
• “Peça apenas os escopos de que precisamos: acesso somente leitura à agenda.”
• “Liste todas as URLs de redirecionamento que preciso registrar no console do provedor, para a prévia, a URL publicada e o meu domínio personalizado.”
• “Guarde os refresh tokens criptografados no banco de dados e, quando um token expirar ou for revogado, peça ao usuário que conecte de novo.”
• “Permita que os usuários desconectem a integração na página de configurações.”

OAuth e o Mythex

O Mythex não tem login de usuário final integrado para os apps que você cria; a documentação descreve uma abordagem de traga o seu próprio — você escolhe uma biblioteca de autenticação ou um provedor hospedado, guarda as chaves como segredos do projeto, e o agente escreve o código. A receita para adicionar autenticação tem um prompt inicial para isso. Você também encontra OAuth no próprio Mythex: pode se cadastrar com o Google, conectar o GitHub para sincronizar repositórios usa OAuth do GitHub, e assistentes de IA que se conectam ao Mythex via MCP passam por uma página de consentimento OAuth. Para saber mais, veja o que é autenticação e o que é autenticação de dois fatores.

Perguntas