OAuth 1.0 é uma estrutura de autorização que permite que aplicações de terceiros acessem recursos protegidos sem expor as credenciais do usuário. Embora tenha sido amplamente substituído pelo OAuth 2.0, o OAuth 1.0 ainda é usado por alguns serviços e APIs legados.O OAuth 1.0 usa um mecanismo de assinatura para verificar a integridade e a autenticidade das requisições, juntamente com timestamps e nonces para evitar ataques de repetição. Tokens e chaves são conhecidos apenas por aplicações autorizadas e provedores de serviço, garantindo uma comunicação segura.O OAuth 1.0 é considerado legado. A maioria das APIs modernas usa OAuth 2.0. Use OAuth 1.0 apenas quando exigido pelo seu provedor de API (por exemplo, Twitter API v1.1).
Configurações básicas#
Na página Auth, selecione OAuth 1.0 como o método de autorização e configure os seguintes parâmetros:| Parâmetro | Descrição | Finalidade |
|---|
| Add Location | Onde incluir os dados de autenticação | Escolha Request Body/Request URL ou Request Header |
| Signature Method | Algoritmo criptográfico | HMAC-SHA1, HMAC-SHA256, HMAC-SHA512, RSA-SHA1, RSA-SHA256, RSA-SHA512 ou PLAINTEXT |
| Consumer Key | Identificador da aplicação | ID exclusivo atribuído pelo provedor de serviço |
| Consumer Secret | Chave secreta da aplicação | Segredo atribuído pelo provedor de serviço |
| Access Token | Token de autorização do usuário | Token emitido após o usuário autorizar a aplicação |
| Token Secret | String secreta do token | Segredo associado ao token de acesso para criação da assinatura |
Baseados em HMAC: Mais comuns, usam segredos compartilhados
Baseados em RSA: Usam pares de chaves pública/privada, mais seguros, porém complexos
PLAINTEXT: Não recomendado para produção (sem criptografia)
Configurações avançadas#
Clique na opção Advanced para configurar parâmetros adicionais do OAuth 1.0. Se deixados em branco, eles serão gerados automaticamente.| Parâmetro | Descrição | Finalidade |
|---|
| Callback URL | URL de redirecionamento após a autorização | Para onde o usuário é redirecionado após autorizar a aplicação |
| Verifier | Código de verificação | String aleatória para verificar a autorização do usuário (gerada pelo provedor de serviço) |
| Timestamp | Timestamp Unix | Evita ataques de repetição ao marcar o horário da requisição |
| Nonce | String aleatória exclusiva | Evita ataques de repetição ao identificar exclusivamente cada requisição |
| Version | Versão do OAuth | Valor padrão; normalmente não é necessário alterar |
| Realm | Domínio de segurança | Identifica o escopo do recurso protegido |
Opções adicionais#
Include body hash: Quando habilitado, inclui um hash do corpo da requisição na assinatura
Add empty parameters to signature: Quando habilitado, inclui parâmetros vazios no cálculo da assinatura
O Apidog gera automaticamente os valores de Timestamp e Nonce se eles forem deixados em branco, garantindo a segurança adequada sem configuração manual.