Sentinel - Identity at the Core of Your SaaS

Níveis de garantia de autenticação (AAL)

O Sentinel usa o modelo AAL (Authentication Assurance Level) do NIST SP 800-63B.

AAL1

Autenticação Básica

Usuário autenticado com um único fator (senha ou OIDC). Suficiente para acesso padrão à plataforma.

·Login com usuário/senha
·Login via Google/Microsoft OIDC
·Login via LDAP/Active Directory

AAL2

Autenticação Forte

Usuário autenticado com dois fatores independentes. Exigido para operações sensíveis ou por configuração do tenant/app.

·Senha + TOTP
·Senha + WebAuthn/Passkey
·Senha + OTP por e-mail
·OIDC + TOTP (após login externo)

Métodos de segundo fator

Cada usuário pode configurar um ou mais métodos de segundo fator.

TOTP

Time-based OTP

Código de 6 dígitos renovado a cada 30 segundos. Compatível com qualquer aplicativo autenticador padrão TOTP (RFC 6238).

Compatível com

Google AuthenticatorAuthy1PasswordMicrosoft AuthenticatorBitwarden

Detalhes

·QR Code de configuração via Admin Console ou self-service
·Janela de tolerância de 30s para clock skew
·Desabilitado por admin com revogação imediata
·Exige verificação do código atual ao configurar

WebAuthn / Passkeys

FIDO2

Autenticação baseada em criptografia de chave pública. Resistente a phishing por design — a chave privada nunca deixa o dispositivo.

Compatível com

Face ID (iPhone/Mac)Touch ID (iPhone/Mac)Windows HelloYubiKey / Chaves FIDO2

Detalhes

·Múltiplas chaves por usuário (celular + laptop + YubiKey)
·Verificação de origem — chave vinculada ao domínio
·Funciona como 2° fator (MFA) ou como senha (Passkey)
·Usuário pode nomear e remover cada chave individualmente

OTP por E-mail

Email OTP

Código de 6 dígitos enviado para o e-mail cadastrado do usuário. Útil como alternativa quando o usuário não tem acesso ao aplicativo autenticador.

Compatível com

Qualquer provedor de e-mail configurado no Sentinel

Detalhes

·Código válido por tempo limitado (TTL configurável)
·Enviado automaticamente ao início do fluxo de segundo fator
·Exige e-mail verificado na conta do usuário
·Pode ser habilitado em paralelo com TOTP/WebAuthn

Backup Codes

Recuperação

Conjunto de 10 códigos de uso único gerados no momento da ativação do MFA. Armazenados offline pelo usuário para recuperação de acesso.

Compatível com

Gerados automaticamente ao ativar TOTP ou WebAuthn

Detalhes

·10 códigos de 8 caracteres de uso único
·Cada código é invalidado após o primeiro uso
·Regeneração disponível nas configurações de segurança
·Exibidos apenas uma vez — não há como recuperar depois

MFA por aplicação (per-app MFA)

Aplicações podem exigir AAL2 independentemente da configuração global do tenant.

Como funciona

A aplicação inclui o parâmetro acr_values=aal2 na requisição de autorização OAuth2. Se a sessão do usuário for apenas AAL1, o sentinel-login solicita o segundo fator antes de emitir o token.

Exemplo de request

/oauth2/auth?client_id=app&
acr_values=aal2&
scope=openid+profile&...

Cenário de upgrade de sessão

Usuário tem sessão AAL1 ativa (só fez login com senha).

Acessa aplicação que requer AAL2 (acr_values=aal2).

sentinel-login detecta sessão AAL1 e exibe tela de segundo fator.

Usuário confirma TOTP ou WebAuthn — sessão promovida para AAL2.

Token emitido com acr=aal2. Próximas apps que pedirem AAL2 não pedem 2° fator novamente até a sessão expirar.

Próximas leituras

Autenticação

Fluxo de login completo, métodos e sessões.

Autorização

OAuth2/OIDC e controle de acesso baseado em roles.

Guia: Usuários

Como criar e gerenciar usuários no Admin Console.