Identificação Segura de Usuário em Links Externos
Para reforçar a segurança e privacidade dos usuários da nossa plataforma, estamos substituindo o antigo identificador appuser_id usado em URLs externas por um novo token seguro chamado edm_token.
Essa mudança segue as melhores práticas de segurança do mercado e garante que os dados dos usuários sejam protegidos mesmo ao serem compartilhados em links fora da plataforma.
O que mudou?
Antes:
As URLs externas (como links de aulas, botões de destaque etc.) incluíam o identificador do usuário diretamente na URL, no formato:
?appuser_id=12345Agora:
O identificador será incluído de forma segura em um token JWT assinado digitalmente, no formato:
?edm_token=eyJhbGciOiJIUzI1NiIsInR...Esse token pode ser validado por meio de um novo endpoint da nossa API externa, com autenticação segura.
Por que essa mudança foi feita?
Segurança: Tokens assinados evitam fraudes, personificação e exposição de dados.
Conformidade: Alinhamento com boas práticas de LGPD e segurança da informação.
Compatibilidade controlada: Clientes que ainda dependem do parâmetro antigo continuarão funcionando normalmente até finalizarem sua migração.
Como funciona?
Para usuários autenticados:
Links externos agora contêm o novo parâmetro
edm_token.O token é gerado a cada clique e é de uso único.
Esse token expira em 6 horas.
O conteúdo do token pode ser validado por vocês via API.
Para usuários não autenticados:
Nenhum identificador é enviado na URL.
Como validar o token?
Foi criado um novo endpoint em nossa API para que sua aplicação possa decodificar o token, documentação completa do endpoint está disponível na documentação da API externa.
Clientes que usam appuser_id:
Clientes que já utilizam o appuser_id nas URLs continuarão recebendo esse parâmetro temporariamente, graças a uma configuração individual ativada em seus ambientes.
Contudo, recomendamos que iniciem o processo de migração para o novo token seguro o quanto antes.
O que você precisa fazer?
Atualize sua aplicação para ler o novo
edm_token.Use o endpoint
/api/v1/external/decode-user-tokenpara extrair oappuser_idcom segurança.Após validação, informe nosso time para que a configuração antiga seja desativada.