Cadastro, login e permissão no mesmo widget da verificação

O que entra

• Cadastro com e-mail e senha, com a conta ativada só depois do código de confirmação do e-mail.
• Login com senha, ou sem senha, por código enviado ao e-mail ou ao celular.
• Esqueci a senha e troca de senha, com todas as sessões derrubadas na troca.
• Base de usuários separada por ambiente: o teste nunca mistura com a produção.
• Painel para ver, bloquear, desbloquear e apagar usuários e derrubar as sessões deles.
• Eventos do ciclo de vida do usuário e de segurança no seu webhook, assinados.

Cadastro com verificação no mesmo fluxo

O flow pode começar pela autenticação e seguir com documento, selfie e prova de vida. Os passos de verificação rodam só no cadastro, e o usuário já nasce ligado à verificação aprovada. No login seguinte ele só entra.

É a diferença para quem usa uma ferramenta de login e outra de verificação: um componente, uma sessão, um resultado no webhook, e nenhuma conta criada para quem não passou na verificação.

Proteção contra ataque

• Senha que já apareceu em vazamento público é recusada no cadastro, na troca e no login.
• Tentativa repetida de adivinhar senha é barrada, sem trancar o dono legítimo da conta para sempre.
• Robô que testa senha em massa paga um custo de computação que a pessoa de verdade nem percebe, sem quebra-cabeça de terceiro na tela.
• Login de rede anônima ou de servidor de nuvem pode ser recusado, com a sua própria lista de bloqueio por cima.
• O usuário é avisado quando a conta dele entra de um jeito incomum.
• A senha é guardada com função de derivação lenta e uma chave separada do banco, como manda a OWASP.

MFA adaptativo

Você escolhe por ambiente: sem segundo fator, sempre, ou adaptativo. No adaptativo o segundo fator só aparece quando o login parece arriscado, então quem entra do aparelho de sempre não é incomodado, e quem tenta entrar de um jeito estranho precisa provar que é o dono.

Fatores: aplicativo autenticador, com códigos de recuperação, código por SMS e código por e-mail. O aplicativo é o mais forte dos três, e a documentação diz por quê.

Tokens, sistemas e permissões

O token de acesso segue o perfil de JWT para token de acesso do OAuth 2.0 (RFC 9068), assinado com chave própria do seu tenant e de cada ambiente, publicada num endereço de chaves que o seu servidor lê para conferir o token sem chamar a UNIFOKAL. O token de renovação gira a cada uso, e o reuso de um token já trocado derruba a sessão inteira.

Para sistema que fala com sistema, sem pessoa no meio, há o fluxo de credenciais de cliente do OAuth 2.0: cada cliente com os escopos e a API que você define.

Permissão fina no modelo de relações: você descreve quem pode o que sobre cada objeto (dono, editor, leitor de uma pasta, de um documento, de uma conta) e pergunta à API se a pessoa pode, uma checagem por vez ou em lote.

A sua marca

As telas de cadastro e login usam as mesmas cores, fonte e logo que você já configurou para o widget de verificação, e você ajusta os textos de cada tela. O usuário vê uma experiência só, com a sua marca.

Integração em três chamadas

1. O seu servidor cria a sessão com a chave secreta.
2. O seu front monta o widget com o identificador da sessão, sem segredo no navegador.
3. O seu servidor troca o código de uso único (com PKCE) pelos tokens e pelos dados do usuário.

Ler a documentação

Preço

Por ação, sem mensalidade e sem faixa por usuário ativo. O valor vem do mesmo catálogo que o painel usa.

Saldo zerado nunca derruba o login dos seus usuários: o débito fica pendente e você recebe o alerta. No ambiente de teste nada é cobrado e nenhuma mensagem real sai.

Ver todos os preços