Segurança para aplicativos para Crowdin

Para garantir o alto nível de segurança para os casos em que o aplicativo Crowdin trabalha com os dados do Crowdin Enterprise (ou seja, usa a autorização via authorization_code), desenvolvemos um mecanismo de segurança. O princípio principal desse mecanismo de segurança é baseado na troca do token JWT entre o Crowdin Enterprise e o aplicativo Crowdin. O token JWT é assinado com um segredo de cliente OAuth conhecido apenas pelas duas partes finais. Dessa forma, o aplicativo Crowdin pode obter uma confirmação de que a página foi aberta precisamente no Crowdin Enterprise.

Implementação

Para implementar a autorização e autenticação em seu aplicativo Crowdin, siga estas etapas:

• Adicione a autorização por meio de authorization_code ao descritor do aplicativo e adicione o ID do cliente OAuth que será usado para autorização.
• Adicione o retorno de chamada ao seu aplicativo Crowdin que irá lidar com o evento instalado.
• Especifique o conjunto necessário de escopos no descritor de aplicativo necessário para seu aplicativo Crowdin. O conjunto especificado de escopos não deve exceder os escopos especificados no OAuth.

Usando os métodos acima, em cada solicitação para o aplicativo Crowdin, Crowdin Enterprise irá passar um conjunto de parâmetros junto com um token de segurança, que pode ser validado por um segredo do OAuth.

Abaixo você pode conferir um exemplo da URL usada por Crowdin Enterprise para abrir a página de um módulo.

Parâmetros de consulta:

A prática recomendada seria adicionar middleware ao aplicativo Crowdin para verificar se cada solicitação tem um token com uma assinatura e validade válidas. Você pode usar uma das bibliotecas existentes para validar a autenticidade do token.

Estrutura do Token JWT

O token JWT consiste nas seguintes partes:

• Cabeçalho - contém informações sobre o tipo de token e algoritmos de codificação.
• Carga útil - contém informações adicionais sobre as datas de emissão e expiração do token, as informações sobre o emissor e o solicitante do token e outras informações contextuais.
• Assinatura - a parte com uma assinatura baseada no cabeçalho e na carga útil.

Exemplo de carga útil do token JWT:

{
  "aud": "Br4a2hpQiNW96anuuO4a",
  "sub": "1",
  "domain": null,
  "context": {},
  "iat": 1600000000,
  "exp": 1600000900
}

Propriedades: