OAuth 2.0

O OAuth 2.0 separa o dono do recurso (utilizador), o cliente (aplicação), o servidor de autorização (emite tokens) e o servidor de recursos (aloja a API). O cliente obtém um token de acesso através de um fluxo definido — authorization code com PKCE para aplicações interativas, client credentials para chamadas serviço-a-serviço, device code para dispositivos sem entrada — e invoca a API com esse token, normalmente em modo bearer. Os scopes e a audience delimitam o que o token pode fazer. OAuth 2.0 é a base do OpenID Connect, do acesso a APIs cloud e dos botões "Iniciar sessão com…". Erros comuns incluem usar implicit grant, omitir PKCE, validar mal o redirect URI ou guardar tokens de forma insegura.