Autenticação - AssessIQ

O login é feito via POST com as credenciais no corpo da requisição (JSON). Nunca são enviadas via URL (GET query params).

Fluxo de Autenticação (2 etapas)

O AssessIQ usa um fluxo de duas etapas antes de criar a sessão:

Verificar credenciais + 2FA

POST /api/auth/check-credentials — valida email/senha e informa se 2FA é necessário.

Criar sessão NextAuth

signIn('credentials', { email, password }) via NextAuth.js — cria o cookie JWT de sessão.

POST /api/auth/check-credentials

Valida as credenciais e retorna se o usuário precisa passar por 2FA.

Request

POST /api/auth/check-credentials
Content-Type: application/json

{
  "email": "usuario@exemplo.com",
  "password": "minhasenha"
}

Resposta — sem 2FA

{
  "success": true,
  "requires2fa": false
}

Resposta — com 2FA habilitado

{
  "success": true,
  "requires2fa": true,
  "methods": ["email", "totp"]
}

Erros

Status	Descrição
`400`	Email ou senha ausentes
`401`	Credenciais inválidas
`429`	Muitas tentativas (rate limit: 5/10 min por IP)

Após 5 tentativas falhas em 10 minutos, o IP fica bloqueado por 10 minutos.

POST /api/auth/callback/credentials

Endpoint interno do NextAuth que cria a sessão. É chamado automaticamente pelo signIn() do next-auth/react — não chame diretamente.

POST /api/auth/callback/credentials
Content-Type: application/x-www-form-urlencoded

email=usuario@exemplo.com&password=suasenha&csrfToken=TOKEN&callbackUrl=/pt/home

O cookie next-auth.session-token (HttpOnly, Secure) é retornado na resposta.

Obtendo o CSRF Token

Necessário para chamar o endpoint de callback diretamente (clientes não-browser).

GET /api/auth/csrf

{
  "csrfToken": "abc123..."
}

Verificar Sessão Atual

GET /api/auth/session

{
  "user": {
    "id": "user_id",
    "email": "usuario@exemplo.com",
    "name": "Nome do Usuário",
    "role": "PROFESSOR"
  },
  "expires": "2026-03-24T20:00:00.000Z"
}

Logout

POST /api/auth/logout

OAuth (Google)

GET /api/auth/signin/google

Redireciona para o fluxo OAuth do Google. Após autenticação, retorna para /{locale}/home.

Notas de Segurança

Senhas armazenadas com bcrypt (cost factor 10)
Senha mínima: 8 caracteres
Sessões expiram e são invalidadas via sessionVersion no banco
2FA disponível por e-mail ou TOTP
DEFAULT_DEV_PASSWORD bloqueado em produção — usuários sem senha devem usar o fluxo “esqueci minha senha”

​Fluxo de Autenticação (2 etapas)

​POST /api/auth/check-credentials

​Request

​Resposta — sem 2FA

​Resposta — com 2FA habilitado

​Erros

​POST /api/auth/callback/credentials

​Obtendo o CSRF Token

​Verificar Sessão Atual

​Logout

​OAuth (Google)

​Notas de Segurança

Fluxo de Autenticação (2 etapas)

POST /api/auth/check-credentials

Request

Resposta — sem 2FA

Resposta — com 2FA habilitado

Erros

POST /api/auth/callback/credentials

Obtendo o CSRF Token

Verificar Sessão Atual

Logout

OAuth (Google)

Notas de Segurança