Abstract
JWT virou quase sinônimo de segurança de API, mas na prática ele é só uma peça de um quadro bem maior. Nesta talk eu volto ao básico do que significam autenticação e autorização, mostro a diferença entre um access token opaco e um JWT, e como o OAuth2 e o OpenID Connect organizam esse mundo — papéis, grants e endpoints — de forma padronizada. Também comento algumas boas práticas que fui aprendendo no caminho, como o velho conselho de “don’t roll your own authentication” e o uso de soluções já consolidadas (Keycloak, Ory Hydra, Auth0). Para fechar, compartilho um estudo de caso real: a migração de um monólito para microsserviços de identidade em Go, a arquitetura por trás disso e os números em escala — centenas de milhares de tokens gerados e dezenas de milhões de introspecções e checagens de permissão por dia.
