authaz / produtos / admin-dashboardAUDIÊNCIA STAFFWEBAUTHN OBRIGATÓRIOVPN · REDE CORP

Ferramentas internas merecem auth melhor que o seu produto.

Auth de cliente e auth de staff respondem perguntas diferentes. O Authaz mantém as duas separadas por design — mesmas primitivas, audiências diferentes, regras diferentes.

Entrar na lista →Ler a documentação
🔒staff.authaz.io/userstenant=acme · q=session.recent
● webauthn · corp-net
OPERAÇÕES
▦Usuários142
⌘Sessões1.8k
⚑Tenants38
⊕Convites12
SEGURANÇA
⚠Eventos de risco3
⚿Break-glass
⏱Log de auditoria
CONFIG
⚙Papéis
⚒Políticas
OPERAÇÕES · USUÁRIOS

Todos os usuários · acme

escopo tenant_acme · vendo-como support_l2
ExportarPersonificar
ATIVOS · 24H
1.824
+12,4%
LOGINS FALHOS
37
+8
RISCO · ELEVADO
3
step-up
DECISÃO P99
1,4ms
estável
USUÁRIO
PAPEL
ÚLTIMA SESSÃO
STATUS
VM
Val Marsh
val@acme.com
owner
há 2m
ativo
⋯
RW
Rod Walsh
rod@acme.com
admin
há 9m
ativo
⋯
SK
Sam Kerr
sam@acme.com
developer
há 1h
ocioso
⋯
FX
Former X
former@acme.com
—
há 14d
revogado
⋯
LB
Lee Bryant
lee@acme.com
billing-admin
há 3h
ocioso
⋯
O problema

Ferramentas internas não deveriam compartilhar login com o produto.

Auth de cliente e auth de staff respondem perguntas diferentes. Misturar as duas é como uma senha de cliente vazada acaba lendo seu banco de produção. O Authaz mantém as duas separadas por design — mesmas primitivas, audiências diferentes.

— 01

Uma audiência separada

Staff entra pelo próprio fluxo, com fatores próprios, TTL de sessão próprio e stream de auditoria próprio.

— 02

Forte por padrão

Corp IP allow-list, corp SSO, WebAuthn — obrigatórios, não opcionais. Recusamos emitir sessões de staff sem eles.

— 03

Pensado para suporte

Personificação, break-glass, sessões read-only com escopo, grants com tempo limitado — os fluxos que seu time de suporte já precisa.

O básico

Controles internos, ativos por padrão.

— 01

Seis guardrails — todos aplicados.

Rede, identidade, MFA, authz, proteção contra ações destrutivas, ciclo de sessão. O Authaz checa cada um antes de emitir uma sessão de staff — e de novo em cada chamada sensível.

  • fail closed se qualquer check faltar
  • tenant-aware · escopo de uma única org
  • auditado desde a primeira requisição
redecorp ip allow-list · OU · vpnativo
identidadecorp sso · apenas workforceativo
mfawebauthn · max-age 4hativo
authzstaff · sub-papéis · recursos com escopoativo
riscobreak-glass para delete · 2 aprovadoresativo
sessãottl 4h · ocioso 15m · revogar pelo consoleativo
— 02

Personificação que não mente.

Engenheiros de suporte veem o que o usuário vê — mas toda ação é registrada nos dois streams de auditoria. Sessões expiram automaticamente. Sem incidentes de "esqueci de voltar".

  • ticket / motivo obrigatório ao iniciar
  • TTL configurável · revoga em ociosidade
  • read-only por padrão · escala explicitamente
PERSONIFICANDO · 12:14 → 12:29

Agindo como val@acme.com

Você vê exatamente o que a Val vê. Toda ação é registrada no log de auditoria dela e no seu.

tenantorg_acmepapeldeveloperttl15:00 restantesmotivosuporte · ticket #4218limitesread-only · sem billing · sem mudanças de auth
sessão termina · auto-revoga no vencimento
— 03

Stream de auditoria que vale a pena ler.

Toda ação de staff — personificação, troca de flag, rotação de key, break-glass negado — capturada com ator, alvo, motivo e resultado. Stream para seu SIEM em tempo real.

  • estruturado · consultável · diffável
  • stream para Datadog · Splunk · S3
  • política de retenção por tipo de evento
12:14:02⇄kim@authaz iniciou personificação de val@acme.com · #4218
12:13:48✎jess@authaz atualizou flag billing.v2 · acme · habilitada
12:11:09!rob@authaz tentou /v1/orgs.delete · negado · break-glass necessário
12:09:33+jess@authaz convidou niko@authaz · staff · admin
12:04:22∂jess@authaz rotacionou api key · org_lumen · key_4f
12:01:18✓kim@authaz sso login · okta · webauthn · ip 198.51.100.12
Código

Um middleware. Console inteiro coberto.

backoffice/middleware.tsstaff-only
export const requireStaff = authaz.guard({ audience: "staff", network: ["corp_ip", "vpn"], factor: "webauthn", max_age: "4h", audit: true, });
Spec

As letras miúdas, na sua cara.

Modelo de audiência
audiência staff separada · isolada do auth de cliente
Controles de rede
corp IP allow-list · VPN · proxy identity-aware estilo BeyondCorp
Identidade
corp SSO · WebAuthn obrigatório · fallback TOTP
Personificação
tempo limitado · motivo obrigatório · auditoria mútua · com escopo
Break-glass
aprovações 2-de-N · revisão pós-fato · auto-revoga
Ciclo de sessão
TTL 4h · ocioso 15m · step-up por ação
Auditoria
toda ação · stream · visões por ator + por alvo
Modelo de preço
valor fixo por seat de staff · personificações de cliente ilimitadas
Combina com

Uma plataforma. Toda primitiva.

Todo produto Authaz compartilha as mesmas primitivas — sessões, políticas, auditoria, tenants. Escolha o que precisa hoje; adicione o resto quando precisar.

01 · RBAC E PERMISSÕES

RBAC e Permissões

Controles de acesso baseados em funções para superfícies de cliente e admin.

Saiba mais →
02 · AUTENTICAÇÃO MULTIFATOR

Autenticação Multifator

Suporte a MFA com TOTP e fatores baseados em comunicação.

Saiba mais →
03 · FLUXOS DE AUTENTICAÇÃO

Fluxos de Autenticação

Senha, código/link mágico e login social prontos para uso.

Saiba mais →
Explorar todos os produtos →
Começar

Tranque o back-office. Sem se trancar do lado de fora.

Auth de staff, fluxos de suporte, auditoria que aguenta — sem montar um segundo sistema.

Entrar na lista →Ler a documentação