Knowledge base

Glossario identita

L'autenticazione e piena di sigle. Spieghiamo i termini principali in modo chiaro e pratico.

Oauth 2.0 e OpenID Connect

Oauth 2.0

Lo standard attuale per autorizzazione. Come una chiave hotel: permette accesso a certe stanze (scope), ma non prova necessariamente chi sei. La versione 2.1 consolida best practice e rimuove flussi insicuri.

OIDC (OpenID Connect)

Uno strato sopra OAuth 2.0 focalizzato su identita. OAuth dice "puoi entrare", OIDC dice "questo account di login e stato autenticato". Fornisce l'id_token con dati utente. Tuurio opera come provider OIDC conforme agli standard.

Sicurezza

PKCE (Proof Key for Code Exchange)

Si pronuncia: Pixie

Meccanismo di sicurezza contro abuso di codici auth intercettati. L'app crea un segreto, invia prima l'hash e poi presenta il segreto originale nello scambio token. Obbligatorio per mobile e SPA.

MFA / 2FA

Autenticazione multi-fattore: qualcosa che sai (password) e qualcosa che hai (telefono o security key). Tuurio supporta TOTP e WebAuthn.

Token

JWT (JSON Web Token)

Formato compatto per trasmettere claims in sicurezza. Un JWT include header, payload e firma. Tuurio firma crittograficamente per validazione backend senza query database.

Refresh token

Chiave a lunga durata per ottenere nuovi access token senza forzare nuovo login. Va conservata in sicurezza e puo essere revocata.

Passkeys (WebAuthn)

Passkeys

La fine delle password. Le passkeys usano biometria dispositivo e crittografia a chiave pubblica. Nessun segreto condiviso viene trasmesso. Tuurio supporta passkeys out of the box.

Hai domande?

Consulta la nostra documentazione developer per l'implementazione tecnica.

Vai alla guida developer