Você está aqui:
Habilitação de fluxo do OAuth: Habilitar fluxo do portador JWT
Essa configuração de segurança ativa um fluxo do OAuth 2.0 baseado em certificado que permite que um aplicativo se autentique assinando um Token da Web JSON (JWT) com uma chave privada em vez de usar um segredo compartilhado estático.
Nome do controle
Aplicativos cliente externos: Habilitação de fluxo do OAuth: Habilitar fluxo do portador JWT
Configuração recomendada
Habilite o fluxo do portador JWT.
Visão geral de controle
Essa configuração de segurança ativa um fluxo do OAuth 2.0 baseado em certificado que permite que um aplicativo se autentique assinando um Token da Web JSON (JWT) com uma chave privada em vez de usar um segredo compartilhado estático.
Risco de segurança, se não configurado
Sem o Fluxo portador JWT, as integrações costumam depender de métodos baseados em senha ou em segredo menos seguros que sejam vulneráveis a preenchimento de credenciais, ataques de força bruta e exposição acidental no código-fonte ou em logs.
Cenários de ameaça
Um invasor intercepta ou descobre um segredo de cliente em texto simples e o usa para estabelecer uma conexão persistente com a API, enquanto um sistema baseado em JWT exigiria que o invasor possuísse o arquivo de chave privada altamente protegido.
Intervalo de pontuação de CVSS estimado
Alto (7.0–8,9).
Considerações sobre impacto de risco
Depender de segredos estáticos em vez de criptografia assimétrica aumenta a probabilidade de uma violação de dados de longo prazo, pois é mais difícil detectar e alternar segredos comprometidos do que certificados digitais.
Risco maior quando
Se o usuário de integração tiver permissões administrativas elevadas e a conexão estiver estabelecida em segmentos de rede públicos ou não gerenciados.
Baixo risco quando
Se a organização já usa um serviço de gerenciamento de chaves robusto para proteger as chaves privadas e impor a lista de permissões de IP rígida para todas as solicitações assinadas por JWT recebidas.
Considerações de negócios e integração
A implementação desse fluxo exige que os desenvolvedores gerenciem certificados digitais e implementem código local para tokens de assinatura, o que aumenta a complexidade em comparação à autenticação baseada em segredo simples.
Remediação recomendada
Acesse as configurações do OAuth do aplicativo cliente externo, carregue um certificado digital válido e marque a caixa de seleção para ativar o Fluxo do portador JWT.
Diretriz de revisão de saúde de segurança
A Análise de integridade de segurança identifica o uso de criptografia assimétrica para autenticação entre máquinas como um padrão obrigatório para ambientes de alta segurança, de modo que as credenciais não podem ser facilmente clonadas ou interceptadas.
