Segurança
Defesa em profundidade, não uma lista de checagem
Autenticação, vínculo de credencial e auditabilidade são mecanismos de nível de protocolo, não middleware colado depois. Esta página descreve cada um que o directory-go de fato aplica.
Autenticação por senha
Senhas são cifradas com bcrypt e nunca logadas nem devolvidas por nenhum endpoint. O login é limitado por IP de origem, independente do cadastro. Uma senha esquecida é recuperada via POST /password-reset, que sempre responde igual exista ou não o e-mail cadastrado — o endpoint não pode ser usado pra descobrir quais contas existem — e emite um token de redefinição de uso único e com prazo curto.
Chaves de acesso (WebAuthn)
Como alternativa à senha, uma conta pode cadastrar uma ou mais chaves de acesso — a digital, o rosto, ou uma chave de segurança física de um dispositivo autentica o login, e a chave privada nunca sai do dispositivo. Não há nada pra interceptar, reproduzir ou phishar: a credencial fica vinculada exatamente à origem contra a qual foi cadastrada. Cadastro e login são cada um uma cerimônia de desafio/resposta em duas etapas, construída sobre a API padrão de navegador PublicKeyCredential. Uma chave de acesso é sempre aditiva — o login por senha continua disponível como alternativa.
Trilha de auditoria durável
Toda escrita contra o registro — emitir ou revogar um certificado, uma mudança de status, uma nova assinatura de webhook — é gravada num log persistente e consultável: quem fez, o quê, quando, e detalhe suficiente pra reconstruir o que aconteceu. Um registro sobrevive à instituição que ele descreve; excluir uma instituição limpa a referência do registro a ela, nunca o registro em si.
Tokens vinculados a certificado (RFC 8705)
Coberto em detalhe na página de Certificados e mTLS: uma sessão ou credencial de serviço pode ser vinculada à impressão digital de um certificado de cliente no momento em que é emitida, de forma que um token Bearer vazado sozinho deixa de ser suficiente pra autenticar.