Define armazenamento, endpoints, eventos, tratamento de erros, monitoramento e procedimentos de suporte para OpenID Connect. Esta referência fixa o limite de adoção, comportamento em falhas e evidências observáveis, deixando os limites específicos do ambiente configuráveis.
Status do pacote: contexto de referência pronto para revisão humana. O contrato e os cenários de teste estão completos, mas não se afirma que uma implementação adotante os tenha aprovado.
Decisão
Para OpenID Connect, adote um ciclo de vida de credencial e sessão do lado do servidor com garantia explícita. Exponha um contrato de recurso ou evento com identidade estável, autorização, validação, idempotência, compatibilidade e erros explícitos. Este pacote é um contrato de referência: a equipe adotante deve escolher limites numéricos, provedores, jurisdições e responsáveis operacionais a partir de evidências em seu próprio ambiente.
Escopo
- Os atores, entradas, saídas, estados, versões de política ou esquema e resultados visíveis externamente do OpenID Connect descritos por este bloco de API.
- Interfaces primárias e alternativas, trabalho em segundo plano, caches, integrações, caminhos de suporte e evidências que podem exercer o mesmo limite.
- Configuração específica de adoção, implantação, recuperação e responsabilidades de verificação necessárias para aplicar a referência com segurança.
Fora deste bloco
- Escolher um fornecedor universal, framework, jurisdição, limite numérico, período de retenção ou objetivo de nível de serviço para todos os adotantes.
- Afirmar que cenários empacotados foram executados contra uma implementação a jusante ou que esta referência concede certificação legal, de segurança ou acessibilidade.
Contrato
- Armazenar apenas material de credencial protegido, rotacionar segredos de assinatura e recuperação, e manter credenciais fora de URLs, logs, análises e visualizações de suporte.
- Vincular emissão, uso, expiração, revogação, recuperação e tratamento de replay a um sujeito nomeado e ação pretendida.
- Retornar respostas públicas resistentes a enumeração enquanto retém dados internos suficientes de motivo e correlação para suporte e resposta a abusos.
- Reavaliar ações sensíveis após mudanças no sujeito, dispositivo, autenticador, risco ou estado da sessão em vez de confiar em um login obsoleto para sempre.
- Documentar semântica de método ou evento, campos obrigatórios, comportamento condicional, limites e um vocabulário de erros legível por máquina.
- Rejeitar campos desconhecidos sensíveis à segurança e preservar compatibilidade futura para dados explicitamente extensíveis.
- Validar emissor, audiência, assinatura, expiração, nonce e vinculação de resposta de autorização; mapear sujeito externo com emissor como uma identidade composta.
- Vinculação de contas requer decisão local autenticada e não pode depender apenas de correspondência de e-mail não verificada.
Orientações de implementação
- Publicar fixtures de contrato e testes de consumidor antes de direcionar tráfego de produção para uma nova versão.
- Modelar entradas, saídas, atores, estados, invariantes, efeitos colaterais e evidências do OpenID Connect antes de selecionar detalhes de framework ou fornecedor.
- Armazenar a versão aplicável do contrato ou política OpenID Connect com estado material para que migrações, replay e decisões de suporte permaneçam atribuíveis.
- Introduzir o caminho por trás de implantação controlada, comparar resultados esperados e observados, e manter uma rota de recuperação testada até que a evidência de adoção esteja completa.
Tratamento de falhas e salvaguardas
- Evidência de autenticação ausente, expirada, repetida ou contraditória nega a ação e segue um caminho de recuperação com limite de taxa.
- Estado OpenID Connect inválido ou contraditório é rejeitado ou colocado em quarentena; a implementação nunca supõe um valor que amplie autoridade ou duplique um efeito.
- Retentativas são limitadas e usam identidade durável; após esgotamento, o trabalho alcança um estado terminal inspecionável com um responsável contabilizável.
Verificação e operações
- Testar retentativas, solicitações duplicadas, atualizações condicionais, paginação ou retomada, credenciais inválidas, limites e timeout de dependência.
- Monitorar sucesso, negação, falha de validação, falha de dependência, esgotamento de retentativas e recuperação do OpenID Connect por versão de contrato sem dimensões sensíveis do payload.
- Reexecutar fixtures positivos e negativos pareados após mudanças em política, esquema, dependência, migração ou limite e preservar as evidências resultantes.
Suposições de adoção
- Nomes e valores no exemplo são um fixture concreto, não padrões universais; os adotantes os substituem por meio de evidências documentadas e propriedade.
- O sistema adotante pode fornecer identidade autenticada, versões duráveis de operação ou registro, telemetria limitada e um caminho controlado para mudanças.
Os exemplos com aparência executável neste pacote são fixtures e contratos de aceitação. Execute o validador da coleção para verificar estrutura e metadados, depois traduza e execute os cenários no repositório alvo antes de registrar evidências de implementação.
Referências
- NIST SP 800-63B-4, Authentication and Authenticator Management (aplica-se a partir de 2026-09-08)
- OpenID Connect Core 1.0