1

Olá estou desenvolvendo uma api Restful, porém gostaria de saber se é seguro autenticar o usuários passando o token na url? E se existe algum outro método mais seguro.

2 Respostas 2

1

Normalmente os tokens de acesso costumam, dependendo da configuração do endpoint, ter um tempo de vida de uma hora.

Pela URL não costuma ser o método mais seguro, já que ele fica exposto mesmo em conexões seguras. O ideal é passar o token por meio do cabeçalho de Authorization, da seguinte forma:

Authorization: Bearer <token>

Esse método faz parte do framework de autorização OAuth 2.0. Leia mais no RFC 6750.

2
  • E para armazenar esse token no client local storange é a melhor opção? Commented 18/11/2014 às 1:34
  • Esse token vai ser usado nos cabeçalhos até expirar, e então você o renova usando as credenciais do usuário ou um refresh token. O ideal é que você o armazene de alguma forma até isso acontecer. Commented 18/11/2014 às 1:36
1

Gostaria de saber se é seguro autenticar o usuários passando o token na url? E se existe algum outro método mais seguro.

Não é seguro passar a autenticação toda pela url. Em regra, não passe dados críticos através da URL porque essas informações são facilmente interceptadas por pessoas maliciosas, mesmo que o seu Token tenha validade isso pode comprometer a segurança.

Eu nunca posso passar token pela url? Pode passar um complemento do token ou algo somente verificador, mas informações realmente importantes devem estar dentro de cabeçalhos ou através de métodos como o POST e não por GET.

Utilize OAuth 2.0

Recomendo que utilize o OAuth 2.0, ele é utilizado por empresas como o Facebook, o Google, o PayPal, o Twitter etc. Serve tanto como servidor de autorização quanto de autenticação. No site oficial encontramos exemplos de implementação do sistema em diversas linguagens.

Man-in-the-middle

Não esqueça de usar a camada de segurança, SSL, na sua aplicação ou pode comprometer a segurança dela com o famoso man-in-the-middle. Aqui tem um artigo bem interessante sobre esse ataque dividido em quatro partes, recomendo a leitura.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .