Autorização é a etapa que decide quais recursos e ações uma identidade pode usar. Ela acontece depois da autenticação, que verifica quem está tentando acessar o sistema. Uma pessoa pode estar autenticada e ainda assim não ter permissão para executar determinada operação.

Como funciona

A aplicação recebe uma identidade, como um usuário, serviço ou agente, e consulta as permissões associadas a ela. A decisão pode considerar o recurso solicitado, a ação, o contexto e regras definidas pela organização. Por exemplo, visualizar um registro e apagá-lo são operações diferentes, mesmo quando se referem ao mesmo registro.

Em uma API, a autorização pode usar papéis, permissões individuais ou escopos associados a um token. Um papel como “leitor” pode permitir consultas, enquanto “editor” também permite alterações. O escopo delimita o acesso concedido para uma integração ou sessão. O sistema deve verificar as permissões no servidor a cada operação protegida, não apenas esconder botões na interface.

Uma boa política concede somente o necessário para a tarefa. Esse princípio reduz o impacto de uma conta comprometida ou de um erro de software. Permissões também precisam ser revogáveis, revisadas e registradas de forma útil, sem expor segredos nos logs.

Exemplo prático

Pense em um painel de uma loja virtual. Uma pessoa do atendimento precisa consultar pedidos e atualizar o endereço de entrega, mas não precisa exportar toda a base de clientes nem alterar dados bancários da empresa. O sistema autentica essa pessoa e, em seguida, autoriza apenas as ações previstas para seu papel.

Se um agente de IA tiver uma ferramenta que consulta pedidos, a autorização define quais contas e campos ele pode acessar. A aplicação pode exigir aprovação humana antes de uma ação de maior impacto, como cancelar um pedido ou emitir um reembolso. A resposta do modelo não deve ser tratada como prova de permissão.

Em uma integração entre serviços, use credenciais separadas por finalidade e limite seus escopos. Se uma chave só precisa ler dados, não conceda permissão de escrita. Ao encerrar a integração, revogue a credencial e confirme que ela deixou de funcionar.

Para que serve

Autorização protege dados e operações em sites, aplicativos, APIs, sistemas internos e fluxos com agentes. Ela ajuda a separar responsabilidades entre equipes e a limitar o que cada usuário ou serviço pode fazer. Também é parte essencial de uma arquitetura em que vários sistemas trocam informações.

Para implementá-la, liste primeiro os recursos e as ações possíveis. Depois, defina quem pode executar cada ação e em quais condições. Teste tanto os caminhos permitidos quanto os negados, incluindo tentativas de acessar dados de outra pessoa ou elevar privilégios.

Revise a política quando funções de equipe, integrações ou requisitos de negócio mudarem. Uma permissão concedida há muito tempo pode continuar ativa sem necessidade. A autorização não substitui criptografia, autenticação forte ou validação de entrada, mas complementa esses controles ao responder uma pergunta específica: esta identidade pode fazer esta ação neste recurso agora?

Diferença entre autorização e autenticação

Autenticação confirma a identidade apresentada. Autorização decide o que essa identidade pode acessar ou alterar. Confundir as duas etapas pode levar a uma API que reconhece corretamente o usuário, mas libera ações além do necessário.