Visão geral

À medida que as empresas dependem cada vez mais de APIs para conectar serviços e aplicativos, proteger esses pipelines de dados é fundamental. Este caso de uso descreve como implementamos um sistema robusto de autenticação JSON Web Token (JWT) para a API principal do Joomla de um cliente, garantindo que o acesso à API fosse restrito exclusivamente a usuários registrados e autenticados.

Pré-requisitos

Este caso de uso foi implementado perfeitamente com os plugins listados abaixo. Para isso, você precisará instalar esses plugins na sua instância do Joomla.

Extensão de API personalizada para Joomla

O plugin Custom API permite que você crie endpoints/rotas REST personalizados para buscar/modificar/criar/excluir dados no Joomla.

Baixar extensão

Desafio

O cliente precisava expor os dados e a funcionalidade do seu site Joomla por meio de uma API para uso em aplicativos externos. No entanto, os controles de acesso padrão eram insuficientes para os requisitos de segurança. O principal desafio era implementar uma autenticação JWT baseada em usuário sistema. Isso significava que o acesso à API não podia ser aberto ou baseado em uma chave de API simples e estática; ele tinha que ser concedido dinamicamente apenas a usuários com credenciais de login válidas no site Joomla.

Solução

Projetamos e desenvolvemos um fluxo de autenticação personalizado que se integra diretamente ao sistema de gerenciamento de usuários do Joomla. A solução envolveu a criação de um endpoint de API dedicado especificamente para gerar tokens JWT. Essa abordagem garante que cada solicitação de API seja validada com segurança, sem expor repetidamente as credenciais do usuário.

Esta solução baseada em JWT oferece diversas vantagens:

• Segurança melhorada: Os tokens são assinados digitalmente e podem ser verificados pelo servidor, impedindo acesso não autorizado.
• Sem estado e escalável: O servidor não precisa armazenar informações de sessão para cada usuário, tornando a API mais eficiente e escalável.
• Vida útil do token controlado: Ao permitir que um tempo de expiração seja definido, os tokens se tornam automaticamente inválidos após um certo período, reduzindo o risco de tokens comprometidos serem mal utilizados.
• Integração perfeita: Ele aproveita o banco de dados de usuários existente do Joomla, então não há necessidade de gerenciar um conjunto separado de credenciais para acesso à API.

Implementação

O processo de autenticação foi implementado em duas fases distintas: geração de tokens e validação de tokens:

• Geração de tokens:
• Um usuário deve primeiro solicitar um token enviando suas credenciais para um novo ponto de extremidade seguro.
• Esta solicitação deve conter seu Joomla nome de usuário e senha. Além disso, um predefinido chave secreta e um desejado tempo de expiração deve ser fornecido.
• Nosso sistema valida o nome de usuário e a senha no banco de dados de usuários do Joomla.
• Se as credenciais estiverem corretas, um JWT exclusivo será gerado, assinado com a chave secreta e enviado de volta ao usuário.
• Acesso à API com Token:
• Para acessar qualquer ponto de extremidade protegido da API Joomla, o usuário deve incluir o JWT gerado no Autorização cabeçalho da solicitação.
• Uma camada de middleware no site Joomla intercepta cada chamada de API, verifica se há um JWT válido no cabeçalho e verifica sua assinatura e data de expiração.
• Se o token for válido, a solicitação será processada. Se estiver ausente, inválido ou expirado, a API retornará imediatamente um 401 não autorizado erro, bloqueando o acesso.

Resultado

Ao criar este sistema de autenticação JWT personalizado, protegemos com sucesso a API Joomla do cliente. A solução oferece um método moderno, seguro e escalável para autenticação de usuários, diretamente vinculado à sua base de usuários Joomla existente. O cliente agora pode conectar seu site a outros serviços e aplicativos com segurança, sabendo que seus dados estão protegidos e que o acesso é rigorosamente controlado por usuário.

Recursos adicionais

1. Autenticação de API personalizada para Joomla
2. Autenticação Web3 para Joomla
3. Escudo de Segurança Joomla