Tokens de acesso: como proteger SSO, APIs e dados pessoais

Tokens de acesso são credenciais temporárias de autorização usadas para chamar APIs e recursos protegidos; não são sinônimo de ID token nem de refresh token. Em tokens assinados, valide emissor, audiência, assinatura, validade e escopo. Em tokens opacos ou stateful, use a validação ou introspecção definida pelo emissor e pelo protocolo. Em qualquer caso, adote vida curta, armazenamento seguro, revogação e monitoramento.

A questão não termina no login. Tokens de acesso aceitos pela aplicação podem abrir e-mails, cadastros ou rotinas administrativas sem pedir a senha novamente. A empresa precisa governar emissão, entrega, armazenamento, apresentação ao recurso, renovação, revogação e evidências.

O que o NIST IR 8587 cobre

Benchmark estrangeiro. Publicado em setembro de 2026, o NIST IR 8587 orienta agências federais dos Estados Unidos e provedores de nuvem. Seu foco inclui tokens de acesso, tokens de identidade e assertions assinados com criptografia assimétrica em SSO, federação, APIs e workloads. O documento informa que a conformidade é voluntária, salvo determinação de política ou acordo vinculante. Ele não cria obrigação brasileira nem deve virar checklist universal.

O relatório organiza a proteção em arquitetura do emissor, chaves, verificação, ciclo de vida e monitoramento. Uma assinatura válida não resolve tudo: a aplicação também precisa confirmar origem, integridade, audiência, prazo e permissões. O NIST trata chaves de assinatura e os próprios tokens de acesso como ativos diferentes, com respostas distintas.

Fato oficial no Brasil. A LGPD inclui “acesso” entre as operações de tratamento e exige medidas técnicas e administrativas aptas a proteger dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas. Os artigos 46 e 49 conectam segurança ao ciclo completo do produto ou serviço e à estrutura dos sistemas. A lei, porém, não prescreve um formato de token, um protocolo de SSO ou um tempo único de expiração.

Recomendação editorial. Use o NIST como referência técnica e a LGPD como fundamento quando tokens de acesso alcançarem dados pessoais. Selecione controles conforme o dado protegido, o impacto da conta, as capacidades do provedor e a possibilidade de detectar e interromper abuso.

Tipos de token e falhas comuns

Confundir tokens de acesso com outros artefatos gera erros de desenho e validação. O NIST diferencia três categorias, cuja implementação pode variar entre produtos:

• ID token ou assertion de identidade: comunica autenticação e atributos de identidade, normalmente para federação e SSO. Ele permite que a parte confiável reconheça o usuário e avalie a sessão. Não deve ser confundido com permissão genérica para chamar qualquer API.
• Access token: representa autorização para alcançar recursos, aplicações ou serviços específicos. Pode apoiar acesso humano ou comunicação entre sistemas. Os tokens de acesso devem chegar ao servidor de recurso que corresponde à audiência e às permissões emitidas.
• Refresh token: é apresentado pelo cliente ao serviço de autorização para obter novos tokens ao fim do período de validade. Como prolonga a capacidade de renovar a sessão, seu vazamento pode manter o risco mesmo depois que um access token expira.

Esses objetos não precisam ter o mesmo formato, e “token” não significa automaticamente JWT. Nem todo token contém dado pessoal: isso depende do conteúdo e da possibilidade de relacioná-lo a pessoa identificada ou identificável, conforme o artigo 5º da LGPD. Mesmo um valor opaco pode ser relacionado a alguém por logs e sistemas associados.

Falhas frequentes nos tokens de acesso incluem aceitar audiência de outro serviço, confiar em chave de ambiente diferente, conceder escopo amplo, manter validade desproporcional, expor credenciais em logs ou pipelines e renovar após suspeita de roubo. Combine esse cuidado com os fundamentos de segurança da informação, sem tratar IAM como configuração isolada.

Controles por ciclo de vida dos tokens de acesso

A matriz é uma recomendação operacional da TOGETHER, não obrigação legal nem perfil de conformidade com o NIST. Ela transforma o fluxo técnico em controles e evidências verificáveis.

Para tokens de acesso e ID tokens, o NIST recomenda, em seu contexto federal, períodos curtos e sugere validade de no máximo uma hora, com ajuste conforme risco e controles compensatórios. Isso é um benchmark, não prazo imposto pela LGPD. A decisão brasileira deve documentar por que a duração é suficiente para a operação e limitada para o impacto possível, sem transformar conveniência em sessão quase permanente.

O refresh token pode durar mais, mas precisa de expiração, proteção contra replay e interrupção. A validade curta dos tokens de acesso perde efeito se um invasor puder renová-los. Rotacionar chaves sem testar publicação, sobreposição e retirada também pode derrubar integrações ou manter confiança indevida em chave antiga.

A ANPD explica controle de acesso por três funções: autenticação identifica quem acessa, autorização define o que essa identidade pode fazer e auditoria registra a atividade. O guia é voltado a agentes de pequeno porte e declara não ter efeito normativo vinculante, mas oferece uma referência brasileira clara para menor privilégio, contas individualizadas, MFA e gestão de fornecedores.

Validação de tokens de acesso em SSO e APIs

Em SSO, a parte confiável valida o ID token ou a assertion antes de iniciar a sessão. Em APIs, o servidor de recurso valida os tokens de acesso destinados a ele. O refresh token retorna ao serviço autorizado a renovar credenciais; não deve ser apresentado indiscriminadamente a cada API. Essa separação impede aceitar um artefato apenas porque ele pode ser decodificado.

Em tokens assinados, confira a assinatura com a chave esperada e obtida por caminho confiável. Também compare emissor e audiência com valores permitidos, rejeite validade vencida ou ainda não iniciada e confirme o escopo da operação. Para tokens opacos ou stateful, aplique a validação ou introspecção definida pelo emissor e pelo protocolo. Teste recusas: leitura não autoriza escrita, teste não entra em produção e um token do serviço A não abre o serviço B.

Em integrações máquina a máquina, contas técnicas e agentes automatizados também precisam de escopo mínimo, vida curta e identidade própria. O NIST recomenda mecanismos que vinculem o token ao remetente, quando viáveis, para reduzir replay. Na prática, a arquitetura deve avaliar recursos como mTLS ou prova de posse sem presumir que uma sigla, sozinha, corrige gestão de chaves, autorização excessiva ou endpoint comprometido. Para agentes, aprofunde a governança do acesso de agentes de IA.

O monitoramento deve registrar emissão, renovação, aceitação, rejeição e revogação, além de metadados necessários à investigação. Não grave os tokens de acesso completos nem atributos pessoais sem necessidade. Anomalias de dispositivo, origem ou velocidade apoiam a detecção, mas não substituem validação determinística.

Resposta a comprometimento

Ao suspeitar de roubo ou falsificação de tokens de acesso, delimite tipo, emissor, cliente, identidade, audiência, escopo, emissão, expiração e ambiente. Preserve eventos sem copiar o segredo para chamado, chat ou planilha. Um bearer token roubado pede contenção de sessão; uma chave de assinatura comprometida pode exigir rotação e retirada de confiança em escala maior.

Depois, revogue o que a arquitetura permitir, negue renovações relacionadas, encerre sessões, reduza privilégios temporariamente e procure uso posterior em recursos conectados. Confirme se a ação se propagou: desabilitar a conta no diretório não prova que todas as APIs interromperam uma sessão já emitida. Um exercício apoiado por orientações sobre acesso indevido a dados pode testar essa dependência antes de um caso real.

Por fim, identifique dados e operações alcançados. O vazamento de um token não significa automaticamente exposição de dados pessoais, mas pode ser o meio para acesso não autorizado. Se houver incidente envolvendo dados pessoais, a organização deve avaliar alcance, consequências e as regras aplicáveis, sem presumir comunicação automática ou descartar o evento apenas porque a senha permaneceu intacta.

Como a TOGETHER pode apoiar

A TOGETHER pode apoiar o mapeamento de SSO, APIs, provedores de identidade e fornecedores, conectando arquitetura, responsabilidades e tratamento de dados. Em uma consultoria em LGPD, isso inclui identificar quais recursos contêm dados pessoais, revisar critérios de acesso, contratos, registros e fluxos de resposta, sem substituir testes técnicos de segurança.

Com DPO as a Service, a organização pode manter acompanhamento contínuo das decisões, mudanças de fornecedor, evidências e incidentes, articulando privacidade, jurídico, segurança e engenharia. O trabalho não promete eliminar comprometimentos nem certifica uma arquitetura por si só. O objetivo é tornar riscos, responsáveis e decisões verificáveis ao longo do ciclo de vida dos tokens de acesso.

Perguntas frequentes

Qual é a diferença entre access token, ID token e refresh token?

O ID token ou assertion comunica autenticação e atributos de identidade; o access token autoriza acesso a recursos específicos; e o refresh token permite ao cliente solicitar novos tokens, conforme a implementação. O NIST IR 8587 descreve as três categorias e ressalta que produtos podem variar. Logo, a documentação do provedor e o desenho local devem definir destinatário, finalidade e validação de cada objeto.

Um token comprometido é sempre um incidente comunicável à ANPD?

Não automaticamente. Primeiro, verifique se houve ou pode ter havido acesso não autorizado ou outra operação com dados pessoais e avalie o risco ou dano relevante. Se esse critério for atendido, a Resolução CD/ANPD nº 15/2024 fixa prazo geral de três dias úteis, contado do conhecimento pelo controlador de que dados pessoais foram afetados; para agentes de pequeno porte abrangidos pelo regime diferenciado, o prazo é contado em dobro. A contenção técnica não deve aguardar essa conclusão.

Referências

• NIST IR 8587 — Protecting Tokens and Assertions from Forgery, Theft, and Misuse.
• ANPD — Guia orientativo sobre segurança da informação para agentes de tratamento de pequeno porte.
• Imprensa Nacional: Resolução CD/ANPD nº 15, de 24 de abril de 2024.
• Brasil — Lei nº 13.709/2018, Lei Geral de Proteção de Dados Pessoais.