Podes construir a tua própria autenticação num dia. Esse é o perigo.
Dezenas de equipas B2B contaram-nos a mesma história. Começa como uma página de login simples. Depois, o tráfego real começa a passar por ela e transforma-se silenciosamente em infraestrutura de identidade: a base de todo o teu produto.
Parecia só uma funcionalidade. Deixou para trás um modelo de identidade inteiro.
Toda a autenticação feita em casa começa com algumas linhas de código. O problema começa depois do lançamento, quando cada pequena decisão se transforma num modelo que todo o teu produto assume como certo.
Dia um: quarenta linhas de código
Email, password, faz o hash, guarda, compara no login. Limpo e feito.
Dia duzentos: um modelo de identidade silencioso
Quem conta como utilizador. A que organização pertence. Que sessões ainda são confiáveis. Como o acesso é retirado.
Ano cinco: uma base que já não se pode tocar
Trocar a página de login no papel significava reconstruir a base de identidade no código.
Autenticação própria corre bem — até o negócio mudar
Faz login durante anos sem problemas. Depois, uma mudança de negócio transforma "suficiente" em "obstáculo" de um dia para o outro. Estas três situações acontecem com quase todos os produtos que escalam.
Clientes empresariais começam a pedir SSO
O primeiro grande contrato chega e a aquisição quer SSO através do próprio Entra ou Google Workspace. Depois querem SAML e OIDC, porque o cliente seguinte usa outra coisa. Cada cliente tem uma configuração de identidade diferente e quase nenhum trabalho reutilizável.
- Protocolos diferentes, mapeamentos de campos e rotação de certificados por cliente
- O SSO não se constrói uma vez. Tens de o reconstruir para cada empresa que assina
- Torna-se silenciosamente trabalho manual que só um engenheiro percebe de ponta a ponta
Identidade fragmentada agora tem de ser unificada
Dividida por organização, por produto, muitas vezes herdada em aquisições. "Unificar identidade" soa a funcionalidade; em código significa redefinir o que conta como um utilizador e uma organização.
- Um email pode pertencer a várias organizações? Como migras nomes de utilizador históricos?
- Nove produtos de aquisições significa nove stacks de autenticação a correr em paralelo
- Revogar um utilizador que saiu em todos de uma vez, e auditar tudo num só local
Agentes de IA e CLIs começam a atuar em nome do utilizador
Já não são só pessoas num browser. Agentes, servidores MCP e linhas de comando afirmam atuar por um utilizador. E a tua autenticação só sabe como fazer login de pessoas numa página.
- A quem é emitido o token, com que permissões e para que público?
- Concede acesso a uma só ferramenta ou a uma parte dos dados e revoga-o mais tarde
- Acesso MCP e CLI dependem de OAuth, não de um formulário de login
O verdadeiro custo não é construir. É mantê-lo durante anos.
A primeira versão é barata: alguns engenheiros, algumas semanas e está feito. Depois alimentas aquilo todos os anos com tempo de engenharia que devia estar no teu produto principal.
A fatura mudou, só a forma de pagar é diferente
Nunca recebes uma fatura com "autenticação".
Fica silenciosamente na mão de uma ou duas pessoas
O contexto crítico está na cabeça de alguém, não na documentação.
Onde queres ter os teus engenheiros?
Nenhum cliente te paga um cêntimo a mais por teres escrito o teu próprio servidor OAuth.
Se não fores construir, como escolhes?
A autenticação madura já cobre as funcionalidades: SSO, MFA, organizações, login unificado, acesso de agentes. A verdadeira diferença é se podes sair. Não troques milhares de linhas tuas por ficares preso a outra solução.
Protocolos padrão, não uma stack inventada
Uma porta por onde podes realmente sair
A faturação não segue a tabela de utilizadores
Os teus dados nunca ficam bloqueados
A autenticação provavelmente não é o teu negócio principal. Trata-a assim.
O Logto é open source, pode ser alojado por ti, ou oferecido como serviço na Cloud. Login, MFA, SSO e RBAC prontos a usar em OIDC padrão. A faturação segue os tokens, e no dia que quiseres sair, a porta está sempre aberta.