--- id: CP-194 slug: oauth-2-delegacao-acesso-tokens lang: pt title: OAuth 2.0 e os tokens de acesso description: Como o OAuth 2.0 dá a uma aplicação um acesso limitado à sua conta sem a sua palavra-passe, e como ler o ecrã de consentimento. canonical_url: https://startbrain.io/cyberpedia/pt/articles/oauth-2-delegacao-acesso-tokens/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/oauth-2-delegacao-acesso-tokens.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «OAuth 2.0 e os tokens de acesso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/oauth-2-delegacao-acesso-tokens/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-026 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/oauth-2-delegacao-acesso-tokens/ fr: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ en: https://startbrain.io/cyberpedia/en/articles/oauth-2-delegated-access-tokens/ de: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ es: https://startbrain.io/cyberpedia/es/articles/oauth-2-delegacion-acceso-tokens/ it: https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/ nl: https://startbrain.io/cyberpedia/nl/articles/oauth-2-gedelegeerde-toegang-tokens/ sources: - "n": 1 title: Investigate and remediate risky OAuth apps publisher: Microsoft url: https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth accessed: "2026-11-03" - "n": 2 title: Steal Application Access Token, Technique T1528 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens accessed: "2026-11-03" - "n": 4 title: Refresh tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens accessed: "2026-11-03" - "n": 5 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 6 title: OAuth2 - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html accessed: "2026-11-03" --- # OAuth 2.0 e os tokens de acesso O OAuth é um padrão aberto de autenticação e autorização baseado em tokens. Permite que um serviço de terceiros utilize as informações de uma conta sem expor a palavra-passe do respetivo titular [1]. Imagine uma aplicação que analisa a sua agenda para o aconselhar sobre a sua organização. Precisa de aceder à agenda, mas, em vez de receber as suas credenciais, obtém um token, criado quando dá o seu consentimento numa página própria [1]. Essa página chama-se ecrã de consentimento. ## Em 30 segundos - Onde acontece: muitas aplicações de terceiros instaladas por utilizadores pedem permissão para aceder aos seus dados e para iniciar sessão em seu nome noutras aplicações online [1]. - O que quer o atacante: levá-lo a conceder acesso a uma aplicação maliciosa, por exemplo depois de uma ligação recebida por phishing direcionado [2]. - O reflexo: antes de clicar em «Aceitar», verificar se as permissões pedidas correspondem ao objetivo da aplicação e recusar no caso contrário [1]. - Se já o fez: um administrador pode banir ou revogar a aplicação [1]. ## Perguntas diretas ### O que acontece quando aceito um ecrã de consentimento? A aplicação recebe um token de acesso que autoriza a partilha de informações precisas da conta, e só dessas [1]. A palavra-passe continua junto do fornecedor da conta. ### O que é um token de acesso? É uma credencial concebida para a autorização: dá acesso a recursos precisos em nome de um utilizador já autenticado. A Microsoft compara-o a chaves que abrem portas específicas num edifício [3]. Como abre o acesso, é sensível e representa um risco se estiver mal protegido [3]. A sua duração é limitada. Na plataforma de identidade da Microsoft, o valor por omissão é sorteado ao acaso entre 60 e 90 minutos, ou seja, 75 minutos em média [3]. ### O que é um token de atualização? Um token de atualização serve para obter um novo par de tokens quando o token de acesso expira. O cliente recebe-o ao mesmo tempo que o token de acesso [4]. Dura mais tempo: por omissão, 24 horas para as aplicações de página única e para as que usam o fluxo de autenticação por código de utilização única enviado por correio eletrónico, e 90 dias em todos os outros cenários, na plataforma da Microsoft [4]. A aplicação pode assim continuar a trabalhar em segundo plano sem lhe pedir novamente autorização a cada expiração. ### Porque interessam estes tokens aos atacantes? Um token roubado permite agir com os direitos da conta. O MITRE ATT&CK descreve atacantes que usam tokens roubados em vez das credenciais de início de sessão [5]. O token de atualização agrava o risco: se for roubado, o atacante obtém novos tokens de acesso sem solicitar o utilizador [2]. ### É possível retirar o acesso a uma aplicação? Sim. Do lado da administração, uma aplicação pode ser banida ou revogada a partir da página das aplicações OAuth, e uma regra pode automatizar a revogação [1]. Do lado dos tokens, o serviço pode revogar um token de atualização antes de expirar, por exemplo após uma alteração da palavra-passe ou uma ação do utilizador ou do administrador [4]. Os efeitos variam consoante o tipo de token e a alteração efetuada [4]. ## Como funciona Intervêm três atores. O cliente é a aplicação que pede o acesso. O servidor de autorização emite os tokens depois de autenticar o proprietário dos dados e de obter o seu consentimento. O servidor de recursos aloja os dados e aceita os pedidos acompanhados de um token [6]. O token de acesso substitui as diferentes credenciais (nome de utilizador e palavra-passe, por exemplo) por um elemento único que o servidor de recursos compreende. Pode assim ter uma duração curta [6]. O token de atualização permite obter um novo, com direitos idênticos ou mais restritos: um token de acesso pode ter uma duração mais curta e menos permissões do que as concedidas pelo proprietário [6]. O token mais comum é o token de portador: quem o possui pode usá-lo. A OWASP recomenda, por isso, limitá-lo de preferência a um único servidor de recursos, para reduzir os danos em caso de fuga [6]. A aplicação, por seu lado, deve tratar o token como uma cadeia opaca: só a API visada deve ler o seu conteúdo [3]. ## O que faz Perante um ecrã de consentimento, bastam algumas verificações. - Leia o pedido antes de o aceitar. Os utilizadores clicam muitas vezes em «Aceitar» sem examinar os detalhes, incluindo as permissões concedidas [1]. - Compare as permissões com o objetivo da aplicação. Uma aplicação só deveria pedir permissões ligadas à sua finalidade; a Microsoft dá o exemplo de uma aplicação de relógio com acesso total a todas as caixas de correio, o que não corresponde ao seu objetivo [1]. - Desconfie das permissões mais pesadas. O MITRE ATT&CK assinala que o acesso offline e o acesso à leitura de mensagens de correio eletrónico devem despertar mais suspeitas, porque os atacantes podem usar as API dos serviços online para aí procurar credenciais e comunicações sensíveis [2]. - Veja o endereço de redirecionamento. Se estiver mal escrito ou formar uma sequência de palavras complicada em torno de um serviço esperado, o site tenta provavelmente imitar um serviço verdadeiro [2]. - Prefira as aplicações comuns. Quanto mais difundida for uma aplicação, na organização como online, maior a probabilidade de ser segura [1]. - Recuse uma aplicação que não reconhece. O MITRE ATT&CK recomenda formar os utilizadores para não autorizarem aplicações de terceiros desconhecidas [2]. - Um administrador pode investigar as aplicações suspeitas e retirá-las [2]. ## As armadilhas ### O falso ecrã de consentimento O atacante regista uma aplicação junto do servidor de autorização e depois envia uma ligação de phishing direcionado para levar a vítima a conceder-lhe o acesso [2]. Um exemplo dado pela Microsoft: uma página de consentimento pode parecer legítima a um utilizador comum, quando o «Google APIs Explorer» não tem nenhuma razão para pedir permissões à própria Google. A aplicação pode, portanto, ser uma tentativa de phishing sem ligação à Google [1]. Os nomes tranquilizadores são comuns. O MITRE ATT&CK refere que o grupo APT28 usou aplicações maliciosas que se faziam passar por «Google Defender», «Google Email Protection» e «Google Scanner» junto de utilizadores do Gmail, e por «Delivery Service» e «McAfee Email Protection» junto de utilizadores do Yahoo [2]. ### O token que dura Depois de concedido o token, a aplicação pode obter um acesso potencialmente duradouro às funções da conta [2]. Com um token de atualização que permite o acesso em segundo plano, um atacante pode, por exemplo, pesquisar nas mensagens de correio eletrónico e enumerar os contactos [5]. Mudar a palavra-passe nem sempre resolve o problema: segundo o quadro da Microsoft, certos tokens continuam ativos depois de uma alteração da palavra-passe pelo utilizador [4]. ### O token roubado sem lhe perguntar nada O roubo de tokens nem sempre passa por um consentimento. O MITRE ATT&CK cita também tokens roubados em ambientes de contentores ou em cadeias de desenvolvimento, onde servem para autenticação junto de outros serviços [2]. O programa Kali365 é descrito como tendo obtido tokens de acesso e de atualização OAuth ao enganar vítimas para que validassem pedidos de autorização de dispositivo iniciados pelo atacante [2]. ### A aplicação esquecida Uma aplicação autorizada um dia continua ligada enquanto ninguém a retirar. A Microsoft recomenda identificar as aplicações cuja data da última autorização não é recente: podem já não ser necessárias [1]. O MITRE ATT&CK pede aos administradores uma auditoria de todas as aplicações OAuth e das permissões concedidas, seguida de auditorias periódicas, com investigação e remoção das aplicações suspeitas [2]. Para o colaborador, isto traduz-se num gesto simples: rever de vez em quando a lista de aplicações ligadas à sua conta e assinalar as que não reconhece. ## Fontes 1. Microsoft, «Investigate and remediate risky OAuth apps». https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth (consultado em 3 de novembro de 2026) 2. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise». https://attack.mitre.org/techniques/T1528/ (consultado em 3 de novembro de 2026) 3. Microsoft, «Access tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (consultado em 3 de novembro de 2026) 4. Microsoft, «Refresh tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise». https://attack.mitre.org/techniques/T1550/001/ (consultado em 3 de novembro de 2026) 6. OWASP, «OAuth2 - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/oauth-2-delegacao-acesso-tokens/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.