Glossário
Definições curtas dos termos de protocolo, dos termos do produto Authio e dos termos do plano Dedicado usados no console e nesta documentação.
Os termos abaixo aparecem no console, nos tokens que o Authio emite e em toda esta documentação. Cada definição é curta e leva à página que explica o termo por inteiro. Os termos do produto estão escritos como nesta documentação: realm, client, consumer, papel, escopo, organização, conta e servidor de recurso.
A–C
| Termo | Significado |
|---|---|
| Access token | O token que uma aplicação apresenta a uma API para mostrar o que pode fazer. Tem vida curta, definida por client entre 1 minuto e 24 horas. Veja Escopos e claims. |
| acr / amr | Claims que contam à sua aplicação como a pessoa fez login: amr lista os métodos usados, e acr resume a força deles como 1, 2 ou 3. Veja Autenticação multifator. |
| Ambiente dedicado | Uma implantação completa do Authio — API, console, banco de dados e cache — provisionada para uma única conta depois que o pagamento é confirmado. Veja Ambiente dedicado. |
| API administrativa | A API em /api/v1/admin que o console usa para configurar o Authio, aberta à sua automação por meio de segredos de API. Veja API administrativa. |
| Aprovação por push | Um segundo fator em que um celular pareado à conta recebe o pedido de login, e a pessoa aprova escolhendo o número mostrado na tela de login. Veja Autenticação multifator. |
| Assento | Um lugar na equipe da conta. Cada membro e cada convite aberto ocupam um. Veja Equipe e acesso. |
| Assinatura | O contrato recorrente da conta com um plano, processado pelo Stripe. A situação dela decide o que a conta e os seus usuários podem fazer. Veja Planos e cobrança. |
| Audiência (`aud`) | A claim que diz para quem um token foi emitido. Uma API recusa tokens cuja audiência não é a dela. Veja Servidores de recurso. |
| Back-channel logout | Um logout_token assinado que o Authio envia ao endereço registrado de um client sempre que uma sessão dele termina, para que a aplicação encerre a sua própria. Veja Sessões e SSO. |
| Capacidade | Uma funcionalidade que o plano liga, como o consultor de IA ou a integração MCP. Uma capacidade que o plano não declara não está incluída. Veja Planos e cobrança. |
| Carência | Por quanto tempo uma conta com pagamento em atraso continua com o login dos seus usuários funcionando antes de ele ser pausado. Veja Planos e cobrança. |
| Chave de assinatura | A chave com que os tokens de um client são assinados. A metade pública é publicada no JWKS do realm, e ela gira automaticamente, a cada 90 dias por padrão. |
| Claim | Um campo dentro de um token, como sub, email ou os papéis da pessoa. Veja Escopos e claims. |
| Client | Uma aplicação registrada em um realm. Um client confidencial guarda um segredo, como um back-end; um client público não consegue guardar, como uma SPA ou um app mobile, e precisa usar PKCE. Veja Conceitos principais. |
| Client credentials | O grant que um serviço usa para obter um token em nome próprio, sem nenhuma pessoa envolvida. Veja Máquina a máquina. |
| Código de autorização | O código de uso único que uma aplicação recebe depois do login e troca por tokens, protegido por PKCE. Veja Qualquer cliente OIDC. |
| Consentimento | A permissão de uma pessoa para que uma aplicação receba os escopos que pediu. É pedido quando o client exige e lembrado depois. |
| Console | A aplicação web em que a sua equipe configura e opera o Authio. Veja Tour pelo console. |
| Consultor de IA | O assistente do console que revisa configuração e atividade e propõe mudanças que nunca aplica sozinho. Veja Authio AI. |
| Consumer | Uma identidade de máquina ligada a um client, com credencial, escopos e papéis próprios. No console aparece como Consumidores. Veja Conceitos principais. |
| Conta | A sua empresa no Authio: a assinatura, a equipe que opera o console, os segredos de API e todos os realms. Veja Conceitos principais. |
| Conta conectada | Uma conta em um serviço externo, como GitHub ou Google Drive, que o usuário conecta por um provedor de conexão do realm, para que o Authio entregue o token dela ao seu servidor MCP. Veja Contas conectadas. |
| Cota | Um teto que o plano define, como o número de realms ativos. Uma cota que o plano não declara não tem teto. Veja Planos e cobrança. |
| Crédito de boas-vindas | Um crédito promocional que contas antigas receberam na primeira compra de um plano e que o Stripe aplica às cobranças por uso até acabar. Contas novas começam com o trial. Veja Planos e cobrança. |
D–I
| Termo | Significado |
|---|---|
| Delegação | Uma permissão registrada para que uma aplicação ou agente aja em nome de uma pessoa, limitada em escopos, em tempo e em quantas vezes pode ser repassada. Veja Delegação. |
| Documento de discovery | O JSON público em /realms/{realm}/.well-known/openid-configuration que lista os endpoints de um realm e o que ele suporta. Veja Endpoints OIDC. |
| Emissor (`iss`) | Quem emitiu e assinou um token. Cada realm tem o seu, como https://authio.api.hyperio.tech/realms/acme. Veja Conceitos principais. |
| Escopo | O nome de uma permissão que uma aplicação pede, como email ou orders:read. Veja Escopos e claims. |
| Evento cobrado | O que os planos cobrados por uso contam: um login que abre uma sessão, ou um token emitido pelo grant password ou client credentials. Renovações e tentativas que falham não contam. Veja Planos e cobrança. |
| Federação | Deixar as pessoas entrarem com uma conta que já têm no Google, no Microsoft Entra ID, no GitHub, na Apple ou em outro provedor OpenID Connect. Veja Login social e corporativo. |
| Fluxo de dispositivo | Login para dispositivos sem navegador ou teclado: o dispositivo mostra um código e a pessoa o aprova em outro aparelho (RFC 8628). Veja Fluxo de dispositivo. |
| Grant type | Uma forma de pedir um token, como authorization_code ou client_credentials. Cada client liga as que usa. Veja Conceitos principais. |
| Grupo | Um conjunto nomeado de usuários de um client que repassa os seus papéis a todos os membros. Veja Papéis e permissões. |
| ID token | O token do OpenID Connect que conta à sua aplicação quem fez login, quando e como. Veja Escopos e claims. |
| Impersonação | Um recurso de suporte que dá a um administrador um token que age como um usuário. Vem desligado em cada realm, é registrado na trilha de auditoria antes de o token existir e dura no máximo 15 minutos. |
| Indicador de recurso | O parâmetro resource que um client envia para pedir um token para uma API específica (RFC 8707). Veja Servidores de recurso. |
| Introspecção | Uma chamada que uma API faz para perguntar ao Authio se um token ainda está ativo (RFC 7662). Veja Endpoints OIDC. |
J–O
| Termo | Significado |
|---|---|
| JWKS | O conjunto de chaves públicas que uma API usa para conferir os tokens de um realm, publicado em /realms/{realm}/protocol/openid-connect/certs. Veja Conceitos principais. |
| JWT | JSON Web Token: o formato de token assinado e autocontido que uma API consegue conferir sozinha com as chaves públicas do emissor. |
| Login hospedado | As páginas de login, recuperação de senha, consentimento e conta que o Authio serve para cada client, com a marca do client. Veja Login hospedado. |
| Mapeamento de claims | Uma regra de um client (claim mapper) que acrescenta uma claim personalizada aos tokens dele a partir de uma constante, de um dado do usuário, de um papel ou de um grupo. Veja Escopos e claims. |
| MCP | Model Context Protocol: a forma como agentes de IA chamam ferramentas em servidores. Um servidor MCP é um servidor de recurso, e o Authio é o servidor de autorização dele. Veja Proteja um servidor MCP. |
| MFA | Autenticação multifator: provar quem você é com dois ou mais fatores diferentes, como uma senha e uma passkey. Veja Autenticação multifator. |
| OAuth 2.0 | O padrão aberto que permite a uma aplicação agir em nome de alguém sem receber a senha dessa pessoa (RFC 6749). |
| OpenID Connect (OIDC) | A camada de identidade sobre o OAuth 2.0 que conta a uma aplicação quem fez login, por meio do ID token. Veja Qualquer cliente OIDC. |
| Operador da plataforma | Um membro da equipe do próprio Authio, que opera a plataforma com um papel reservado que nenhuma conta de cliente pode ter. Veja Equipe e acesso. |
| Organização | Um dos seus clientes corporativos dentro de um realm, com membros, domínios verificados e opções de login próprios. Veja Organizações. |
P–R
| Termo | Significado |
|---|---|
| Papel | Um conjunto nomeado de claims que chega aos tokens de quem o detém, atribuído diretamente, por um grupo ou concedido por um client ou realm. Veja Papéis e permissões. |
| Papel da conta | O que um membro da equipe pode fazer no console e na API administrativa: Auditor, Desenvolvedor, Administrador ou Dono. Veja Equipe e acesso. |
| Passkey | Uma credencial sem senha, guardada no dispositivo da pessoa e vinculada ao site, que resiste a phishing (WebAuthn). Veja Passkeys. |
| Personal access token | Uma chave pré-gerada que uma pessoa usa em scripts e pipelines, trocada pelo grant personal_access_token por um token de curta duração que age em nome dela. Veja Equipe e acesso. |
| PKCE | Proof Key for Code Exchange (RFC 7636): a prova de que a aplicação que troca um código de autorização é a mesma que o pediu. Exigido por padrão. |
| Plano | O que uma conta assina: as cotas e capacidades que recebe e a forma como é cobrada. Veja Planos e cobrança. |
| Plano Dedicado | O plano que compra um ambiente dedicado: sem trial, com preço fixo por período e sem realms na plataforma compartilhada. Veja Planos e cobrança. |
| Provedor de identidade | Um serviço que confirma quem alguém é. Cada realm é um, e ele também pode aceitar logins de provedores externos. Veja Login social e corporativo. |
| Provisionamento JIT | Criar um usuário automaticamente no primeiro login por um provedor de identidade externo, ou vinculá-lo a um usuário existente por um e-mail verificado. Veja Login social e corporativo. |
| Realm | Um tenant isolado e provedor de identidade, com emissor, chaves, usuários, clients e políticas próprios. Veja Conceitos principais. |
| Reativação | Trazer de volta uma conta cuja assinatura terminou, escolhendo um plano de novo por um link enviado por e-mail. Veja Planos e cobrança. |
| Redirect URI | Um endereço da sua aplicação para onde o Authio devolve a pessoa depois do login. Só endereços registrados são aceitos, comparados por inteiro. |
| Refresh token | Um token de vida mais longa que obtém novos access tokens sem um novo login. Só é emitido com o escopo offline_access e, por padrão, é trocado a cada uso. Veja Sessões e SSO. |
| Revogação | Invalidar um token antes que ele expire (RFC 7009). Veja Endpoints OIDC. |
S–Z
| Termo | Significado |
|---|---|
| Segredo de API | Uma credencial para automação, emitida em Segredos de API: uma chave de API enviada no cabeçalho x-api-key, ou um personal access token. Veja Equipe e acesso. |
| Segredo do client | A senha com que um client confidencial prova quem é. Gerado pelo Authio e mostrado só quando o client é criado ou quando o segredo é girado. |
| Servidor de recurso | Uma API ou servidor MCP registrado em um realm, cujo identificador vira a audiência dos tokens emitidos para ele. Veja Servidores de recurso. |
| Sessão | O registro de uma pessoa conectada a um client, citado pela claim sid de todo token emitido a partir dela. Veja Sessões e SSO. |
| SSO (single sign-on) | Fazer login uma vez e entrar nos outros clients participantes do realm sem digitar credenciais de novo. Opcional por client. Veja Sessões e SSO. |
| Step-up | Pedir um login mais recente ou mais forte antes de uma ação sensível, solicitando-o com acr_values e conferindo acr e amr. Veja Autenticação multifator. |
| Suspensão | Um bloqueio com datas no acesso de uma pessoa, total ou limitado a alguns escopos ou papéis, que começa e termina sozinho. |
| Token exchange | Apresentar um token para obter outro (RFC 8693). O Authio o usa para a delegação e para as contas conectadas. Veja Delegação. |
| TOTP | Um código de uso único baseado no horário, gerado por um app autenticador (RFC 6238). Os membros do console o usam como segundo fator do próprio login. |
| Trial | O período gratuito de 14 dias no plano Basic com que toda conta da plataforma compartilhada começa, sem pedir cartão. Veja Planos e cobrança. |
| Trilha de auditoria | O registro de toda mudança feita pelo console e pela API administrativa: quem, o quê, quando e com qual resultado, inclusive as recusas. Veja Auditoria e insights. |
| UserInfo | O endpoint do OpenID Connect que devolve os dados atuais da pessoa por trás de um access token, limitados aos escopos dele. Veja Endpoints OIDC. |
| Usuário | Uma pessoa que faz login em um realm. Um usuário por pessoa em cada realm, compartilhado pelos clients do realm. Veja Conceitos principais. |
| Webhook | Uma chamada HTTP que o Authio faz ao seu endpoint quando algo acontece, assinada com HMAC-SHA256 e reenviada quando falha. Veja Webhooks. |