Auditoria e insights
Descubra quem entrou e quem mudou o quê, acompanhe a autenticação ao vivo e leia os painéis que resumem a sua conta.
O Authio mantém dois registros de tudo o que acontece na sua conta: uma trilha de acessos, com cada tentativa de autenticação, e uma trilha de mudanças, com cada alteração administrativa. O console lê as duas com filtros, rankings e gráficos calculados no servidor, mostra os logins ao vivo e resume a conta no painel e na caixa de entrada de notificações.
Tudo isso fica restrito à sua conta: qualquer que seja o realm ou o filtro pedido, você só vê a atividade dos realms que são seus.
Duas trilhas
| Trilha | O que registra | Guardada por | No console |
|---|---|---|---|
| Acessos | Cada tentativa de autenticação, em qualquer grant, bem-sucedida ou recusada. | 90 dias | Auditoria › Acessos |
| Mudanças | Cada criação, alteração, exclusão e personificação feita pelo console ou pela Admin API, aplicada ou rejeitada. | 365 dias | Auditoria › Mudanças |
Ler qualquer uma das trilhas exige a permissão audit:read. Registros que passaram da retenção são apagados automaticamente uma vez por dia.
A trilha de acessos
Cada tentativa é registrada com quem a fez, de onde, com qual credencial e como terminou:
| Grupo | Campos |
|---|---|
| Resultado | Tipo de grant, sucesso, motivo da falha |
| Principal | O usuário (id, username, e-mail), o consumer ou o segredo de API que se autenticou |
| Origem | Endereço IP, user agent, navegador, dispositivo, sistema operacional |
| Destino | Realm, client, servidor de recurso, escopos, provedor de conexão |
| Como a pessoa entrou | Métodos de autenticação (amr), nível (acr) e o provedor de identidade externo, nos logins de pessoas |
| Identificadores | Id do token, id da sessão, id da requisição |
Os tipos de grant registrados são Password, ClientCredentials, PersonalAccessToken, AuthorizationCode, ApiKey, RefreshToken, TokenExchange, DeviceCode, Federated e Unknown. Federated marca um login por um provedor externo que o login hospedado recusou em seguida: conta suspensa ou inativa, sem acesso ao client, endereço ainda não aprovado ou segundo fator rejeitado.
Como ler
- A visão geral mostra os números principais do período comparados ao período anterior de mesmo tamanho, o que foi usado e de onde veio, e um mapa de calor de quando os logins são tentados, por dia e hora.
- Os rankings por tipo de grant, realm, client, servidor de recurso, identidade e endereço IP são clicáveis: cada um vira um filtro.
- O pulso mostra sucessos e falhas por dia; clique em um dia para restringir o período a ele.
- Os registros são paginados (5, 10, 25 ou 50 por página). Cada um abre um painel de detalhe com todos os campos acima, e uma tentativa que falhou oferece Abrir no Wire Bench, já configurado com o client e o grant dela, para reproduzi-la.
A trilha de mudanças
Todo POST, PUT, PATCH e DELETE na Admin API é registrado automaticamente depois de executado, venha ele do console ou das suas próprias ferramentas. Como o registro acontece em um único lugar, e não endpoint por endpoint, uma parte nova da API já nasce auditada.
- As ações são
Create,Update,DeleteeImpersonate. - Cada registro traz a ação, o tipo e o id do recurso, o realm e o client, o autor (id, nome e e-mail), endereço IP, user agent, método HTTP, caminho, código de status, se deu certo, o motivo da falha e o id da requisição.
- A rotação de um segredo registra também
details: omode(Immediate,OverlapouCompromise),previous_value_valid_untileissued_tokens_revoked_before. Veja Rotação de segredos. - Tentativas rejeitadas também são registradas, com o motivo: uma sequência de exclusões recusadas é exatamente o que uma auditoria quer ver.
- Leituras não são registradas, nem gravações que não mudam configuração nenhuma, como fixar um favorito, marcar notificações como lidas ou fazer uma pergunta ao consultor de IA.
A visão geral conta mudanças, exclusões, mudanças aplicadas e rejeitadas, faz rankings por ação, tipo de recurso, realm e autor, e mostra quando as mudanças são feitas, por dia e hora.
Filtre e exporte
- O período é de 24 horas, 7, 30 ou 90 dias, ou os dias que você escolher no calendário. As trilhas abrem nos últimos 30 dias.
- Busque por usuário, endereço, client ou recurso, ou cole o id de uma requisição para achar uma chamada específica. Resultado, tipo de grant e servidor de recurso refinam a trilha de acessos; a ação refina a trilha de mudanças.
- Realm, período e busca continuam os mesmos quando você alterna entre Acessos e Mudanças.
- As telas de servidor de recurso, de provedor de conexão e de provedor de identidade têm links que abrem a trilha de acessos já filtrada para eles.
- Exportar CSV baixa a trilha filtrada inteira, não só a página na tela, como
access-logs-{data}.csvouaudit-trail-{data}.csv.
Stream de autenticação
O Stream de autenticação mostra logins, emissões de token e falhas em todos os seus realms no momento em que acontecem. Restrinja a um client, pause, e abra um evento que falhou no Wire Bench para reproduzi-lo. Ele guarda os 200 eventos mais recentes e não preenche lacunas: o que acontece enquanto ele está pausado ou desconectado não aparece ali, então use a trilha de acessos para tudo o que você precisar consultar depois.
Atividade onde você trabalha
Raramente você precisa da trilha inteira para responder a uma pergunta sobre uma coisa só. A aba Atividade de um realm reúne a atividade de login, as sessões abertas, as delegações e os webhooks dele; a aba Atividade de um client faz o mesmo para aquela aplicação. Toda lista de atividade abre nos 5 registros mais recentes, pagina o resto em 5, 10, 25 ou 50 e se restringe a 24 horas, 7, 30 ou 90 dias, ou aos dias que você escolher.
O painel
O Painel é onde todos chegam depois de entrar. Cada bloco aparece só para quem pode ler o que ele mostra, e um bloco que não carrega avisa isso e oferece tentar de novo, em vez de mostrar zeros.
| Bloco | O que mostra |
|---|---|
| Precisa de atenção | Notificações críticas abertas, clients que aceitam requisições sem autenticação, segredos de API vencidos, grupos que não concedem papel nenhum e organizações que não roteiam login. |
| Visão geral | Acessos autenticados dos últimos 30 dias, com a média diária e o dia mais movimentado, e as contagens de realms, clients e usuários comparadas aos 30 dias anteriores. |
| Endurecimento | A proporção de clients com PKCE, autenticação do client e criptografia de token; de usuários com e-mail confirmado, segundo fator, bloqueio e papel; e de consumers limitados por escopo ou papel. |
| O que a conta contém | Como os clientes se autenticam, De onde veio o consumo, clients e usuários por realm, realms recentes e um inventário de papéis, escopos, consumers, organizações, grupos e segredos de API. |
| Calendário de suspensões | Quem está suspenso agora, suspensões agendadas ou terminando na semana, e quem está retido em um dia escolhido. |
| Plano e uso | O seu plano, cada cota e quanto falta para o limite, e o custo estimado do período. |
| Consultor de IA | A leitura mais recente do consultor sobre os realms em que você o ligou, quando o seu plano o inclui. |
| Atividade | Eventos de acesso e mudanças recentes do realm em escopo, no período que você escolher. |
Notificações
O Authio confere a sua conta a cada hora, e de novo sempre que um recurso monitorado muda, e abre uma notificação em Notificações quando algo precisa de você. Uma condição — um segredo prestes a vencer, um webhook desativado — fica aberta enquanto vale e se resolve sozinha quando deixa de valer. Um evento — uma chave revogada, um refresh token reutilizado — fica até alguém encerrá-lo. Marcar uma notificação como lida só registra que ela foi vista.
| Notificação | Severidade | Aberta quando |
|---|---|---|
| Segredo vencido | Crítica | Um segredo de API passou da validade. |
| Segredo vencendo | Aviso | Um segredo de API vence em até 7 dias. |
| Falhas de autenticação fora do comum | Aviso | 25% ou mais dos logins falharam nos últimos 7 dias, com pelo menos 20 tentativas. |
| Realm inativo | Aviso | Os clients de um realm não emitem tokens. |
| Webhook desativado | Crítica | Um endpoint foi desativado depois de falhas seguidas. |
| Client desativado | Aviso | Um client foi desativado. |
| Chave de assinatura revogada | Aviso | Uma chave de assinatura foi revogada. |
| Chaves giradas | Informativa | Chaves foram giradas porque o período delas acabou. |
| Refresh token reutilizado | Crítica | Um refresh token foi apresentado depois de trocado, e a sessão dele foi encerrada. |
| Login aguardando aprovação | Aviso; crítica quando o titular recusa | Um login de um endereço desconhecido aguarda uma decisão. |
| Cota perto do limite | Aviso | Uma cota do plano está em 80% ou mais. |
| Limite do plano atingido | Aviso | Algo não pôde ser criado porque uma cota acabou. |
| Fim do trial | Aviso; crítica no último dia | O trial termina em até 3 dias. |
As notificações sempre aparecem na caixa de entrada. O dono da conta escolhe em Preferências se elas também saem por e-mail (ligado por padrão, para o endereço da conta, a menos que outro seja informado) e por webhook, e pode desligar um tipo por completo, o que impede que ele seja aberto.
Lendo as trilhas pela API
Os mesmos dados ficam disponíveis para as suas ferramentas pela Admin API, com a permissão audit:read:
| Endpoint | Devolve |
|---|---|
GET /api/v1/admin/access-logs | Registros de acesso, com os mesmos filtros que o console usa. |
GET /api/v1/admin/access-logs/summary | A visão geral de acessos: totais, rankings, linha do tempo diária e mapa de calor. |
GET /api/v1/admin/access-logs/stream | As tentativas no momento em que acontecem, como Server-Sent Events. |
GET /api/v1/admin/audit-trail | Registros de mudanças. |
GET /api/v1/admin/audit-trail/summary | A visão geral de mudanças. |
Pergunte em linguagem natural
Quando o seu plano inclui o consultor de IA, a trilha de acessos aceita uma pergunta como “falhas na loja ontem à tarde” e a transforma em filtros que você vê e pode desfazer. Com um único realm escolhido, Ler este período pede ao consultor que diga se as falhas parecem uma configuração sua ou credenciais sendo testadas. As duas coisas estão descritas em Authio AI.