Autoatendimento da conta

As páginas hospedadas em que as pessoas cuidam da própria conta — sessões, dados, passkeys, celulares e aplicações — e os fluxos de redefinição de senha e confirmação de e-mail.

O Authio hospeda um portal da conta para cada client, com a marca do client e em inglês ou português do Brasil. As pessoas encerram sessões que não reconhecem, cuidam das suas passkeys e celulares e veem quais aplicações receberam os seus dados, sem você construir tela alguma nem atender um chamado de suporte.

As mesmas páginas hospedadas cuidam dos fluxos que começam por um e-mail: redefinir uma senha esquecida e confirmar um endereço de e-mail.

As páginas da conta

Cada aba tem o próprio endereço sob o client. Aponte para elas a partir de um item Minha conta na sua aplicação:

Páginas da contaTexto simples

https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/sessions
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/profile
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/activity
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/passkeys
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/authenticator
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/applications
https://authio.api.hyperio.tech/realms/acme/clients/acme-web/account/connections

A pessoa precisa estar conectada ao realm naquele navegador. Caso contrário, a página pede que ela entre primeiro e abra a página de novo pela aplicação.
Acrescente ui_locales=pt-BR ou theme=dark ao endereço para definir o idioma ou a paleta, como nas telas de login.
A aba Portal do client, no console, lista todas as páginas hospedadas do client com o endereço de cada uma.
Tudo o que uma página faz se limita aos itens da própria pessoa conectada: um identificador trocado no endereço só encontra algo que seja dela.

Sessões

As sessões abertas da conta nesta aplicação: qual é a do navegador atual, quando e de onde cada uma começou e como a pessoa provou quem era. Uma sessão que veio do single sign-on ganha uma marca e lista as outras aplicações que o mesmo login abriu; encerrá-la desconecta aquele navegador de todas elas. Encerrar desconecta outro dispositivo, Sair daqui desconecta este.

Seus dados

Nome, sobrenome e telefone, com seletor de país para o código de discagem. O endereço de e-mail aparece, mas não pode ser alterado aqui.

Atividade

As 20 tentativas de login mais recentes na conta, com sucesso ou não, com navegador, dispositivo, sistema operacional, origem e resultado. As recusas ganham destaque: uma vinda de um lugar onde a pessoa nunca esteve merece atenção.

Passkeys

As passkeys da conta com nome, tipo de dispositivo, se estão sincronizadas, quando foram cadastradas e usadas pela última vez. Registrar este dispositivo adiciona uma; Remover apaga uma perdida. Uma passkey guardada num único dispositivo é destacada, com a sugestão de cadastrar uma segunda. A aba só lista passkeys quando o client oferece a etapa passkey. Veja Passkeys.

App do Authio

Onde a pessoa pareia um celular com o app do Authio a qualquer momento, com Mostrar o código de pareamento e o mesmo QR code que o login mostra. A aba lista os celulares pareados — nome, plataforma, modelo, quando foi pareado e visto pela última vez, e se pode ser notificado — e remove um deles depois de uma confirmação. Abaixo, os 20 pedidos mais recentes enviados aos celulares e os números dos últimos 30 dias: aprovados, recusados, sem resposta e tempo médio de resposta, com alertas para pedidos recusados e para pedidos que nunca chegaram a um celular.

A aba só funciona quando o client usa o celular: tem a etapa push ou um canal de aprovação que não é só e-mail. Caso contrário, ela avisa que o app não está habilitado. Veja Multifator.

Aplicações

As aplicações do realm que a pessoa autorizou a receber os seus dados, com os escopos que cada uma recebe, e as versões de termos que ela aceitou. Remover acesso apaga o consentimento e encerra as sessões dela naquela aplicação; a aplicação pergunta de novo no próximo uso, e as sessões nas demais continuam abertas.

Contas conectadas

Contas em outros serviços — GitHub, Google Drive, Slack e outros que o realm oferece — que a pessoa conectou para que as aplicações do realm ajam lá em nome dela, para uso pessoal ou de uma organização. Ela conecta, escolhe a conta padrão de cada serviço e desconecta. Veja Contas conectadas.

Redefinição de senha

A pessoa pede a redefinição
Na tela de login, Esqueceu a senha? abre Esqueceu a sua senha?. Ela digita o nome de usuário e escolhe Enviar link de redefinição.
O Authio confirma que é ela
Conforme o canal de aprovação do client: um link de uso único enviado ao e-mail da conta ou um pedido no app do Authio. Pelo app, a tela mostra um número para tocar e espera; aprovar exige a digital, o rosto ou o bloqueio de tela do celular, e a tela segue sozinha em seguida. Prefiro receber o link por e-mail está sempre disponível.
Ela escolhe uma senha nova
A página de redefinição lista o que a senha nova precisa ter, redigido a partir das regras de senha do realm, com um medidor de força. Ela também diz quando o link expira.
Ela entra por onde começou
A página confirma Senha atualizada e pede que a pessoa volte para a tela de login e entre com a senha nova. Ela não abre um login próprio.

Por que as páginas abertas por e-mail não fazem login

O login que a sua aplicação começou continua aberto na outra aba, guardando o pedido dela. As páginas abertas por um e-mail — redefinir senha, confirmar e-mail, aprovar um endereço novo — só confirmam e pedem que a pessoa volte àquela aba, para que o login termine lá e volte à sua aplicação como esperado.

A tela responde do mesmo jeito exista ou não o nome de usuário, e tenha ou não a conta um celular, então nunca revela quem tem conta.
Uma recusa no celular não muda nada: a senha continua como está.
O mesmo fluxo renova uma senha expirada: depois da senha certa, a pessoa cai no pedido de redefinição com um aviso explicando o motivo.

Confirmação de e-mail

Uma conta nova recebe um link para confirmar o endereço e não entra até segui-lo (veja Confirmação de e-mail para saber quando isso vale).

Seguir o link mostra E-mail confirmado e pede que a pessoa volte para a tela de login e entre com a sua conta.
Um link inválido, já usado ou vencido mostra um formulário para pedir outro. A resposta é sempre que um link foi enviado, tenha ou não o endereço uma conta esperando.
Quem tenta entrar antes de confirmar vê Endereço ainda não confirmado com Reenviar o e-mail de confirmação.
Um administrador pode reenviar o link pela página do usuário, em Usuários.

Próximos passos

Login hospedadoAs telas de login e como aplicar a sua marca a elas.Políticas de segurançaRegras de senha, bloqueio e canal de aprovação.Sessões e SSODuração da sessão, single sign-on e logout.