Olá estou desenvolvendo uma api Restful, porém gostaria de saber se é seguro autenticar o usuários passando o token na url? E se existe algum outro método mais seguro.
2 Respostas
Normalmente os tokens de acesso costumam, dependendo da configuração do endpoint, ter um tempo de vida de uma hora.
Pela URL não costuma ser o método mais seguro, já que ele fica exposto mesmo em conexões seguras. O ideal é passar o token por meio do cabeçalho de Authorization
, da seguinte forma:
Authorization: Bearer <token>
Esse método faz parte do framework de autorização OAuth 2.0. Leia mais no RFC 6750.
-
E para armazenar esse token no client local storange é a melhor opção? Commented 18/11/2014 às 1:34
-
Esse token vai ser usado nos cabeçalhos até expirar, e então você o renova usando as credenciais do usuário ou um refresh token. O ideal é que você o armazene de alguma forma até isso acontecer. Commented 18/11/2014 às 1:36
Gostaria de saber se é seguro autenticar o usuários passando o token na url? E se existe algum outro método mais seguro.
Não é seguro passar a autenticação toda pela url. Em regra, não passe dados críticos através da URL porque essas informações são facilmente interceptadas por pessoas maliciosas, mesmo que o seu Token tenha validade isso pode comprometer a segurança.
Eu nunca posso passar token pela url? Pode passar um complemento do token ou algo somente verificador, mas informações realmente importantes devem estar dentro de cabeçalhos ou através de métodos como o POST e não por GET.
Utilize OAuth 2.0
Recomendo que utilize o OAuth 2.0, ele é utilizado por empresas como o Facebook, o Google, o PayPal, o Twitter etc. Serve tanto como servidor de autorização quanto de autenticação. No site oficial encontramos exemplos de implementação do sistema em diversas linguagens.
Man-in-the-middle
Não esqueça de usar a camada de segurança, SSL, na sua aplicação ou pode comprometer a segurança dela com o famoso man-in-the-middle. Aqui tem um artigo bem interessante sobre esse ataque dividido em quatro partes, recomendo a leitura.