OAuth, tokens de API e cookies colados: o que cada um realmente permite fazer
Marta Kowalczyk
Agency Operations Lead
Toda ferramenta que toca nas suas contas de anúncios precisou entrar por algum lugar, e só existem três portas. A diferença entre oauth tokens e cookies contas de anúncios decide o que essa ferramenta alcança, o que ela pode fazer no dia ruim e com que rapidez você consegue deixá-la de fora. Quase ninguém olha por qual porta uma ferramenta entrou antes de conectá-la, e depois a julga pelo painel. Este artigo é a parte chata que fica embaixo: o que cada forma de acesso realmente concede, como se retoma, e por que o jeito como o software chega à sua máquina faz parte da mesma conversa.
Resposta rápida: OAuth entrega a uma aplicação um token com escopo limitado e revogável, e nunca revela sua senha. Um token de API cru é uma chave sem registro de quem a segura. Um cookie de sessão colado não é acesso: é a sua sessão duplicada, com todas as suas permissões e sem revogação individual. Em volta das três está a questão do que roda na sua máquina: todo componente que se atualiza sozinho herda as permissões que você deu a ele, então a pergunta útil não é «eu confio neste fornecedor» e sim «até onde isto chega se uma atualização fizer algo que eu não esperava».
As três portas
1. OAuth: delegado, com escopo, revogável
Um fluxo OAuth tem um formato que vale reconhecer, porque o formato é a propriedade de segurança.
- A ferramenta manda você para o domínio da plataforma para entrar. A senha é digitada na plataforma, não na ferramenta.
- A plataforma mostra uma lista nomeada das permissões pedidas: gerenciar campanhas, ler relatórios, listar ativos da empresa.
- Você aprova, e a plataforma emite um token para a ferramenta. O token carrega essas permissões e nada mais.
- A concessão aparece na sua conta, em aplicativos conectados ou integrações de empresa, com um nome.
- Você pode removê-la daquela tela quando quiser, e a ferramenta perde o acesso na chamada seguinte.
Quatro desses cinco passos existem em seu benefício, não no da ferramenta. A senha não sai da plataforma. A lista de permissões fica registrada. A concessão fica inventariada. A remoção é uma tela e não perturba mais nada.
2. Um token de API cru: uma chave, e nenhum registro de quem a segura
Algumas ferramentas pulam o fluxo e pedem que você gere um token e cole. O token ainda pode ter escopo — isso depende de como foi emitido — mas três das cinco propriedades acima desaparecem.
Não há tela de consentimento registrando o que foi pedido. Em geral não há entrada na lista de aplicativos conectados, então seis meses depois nada dentro da sua conta diz que aquela ferramenta existe. E a revogação deixa de ser uma ação por ferramenta: você tem que voltar ao lugar onde o token foi emitido e apagá-lo ali, o que na prática significa lembrar que você o emitiu.
Um token colado não é automaticamente perigoso. Ele está fora do inventário, o que é um problema diferente e mais lento. Inventários que dependem da memória se desfazem, e o desgaste fica invisível até que uma auditoria ou um incidente force a pergunta.
3. Um cookie de sessão colado: você, duplicado
Este merece um olhar sério, e é tratado com mais profundidade no nosso texto sobre segurança de tokens e cookies do Facebook.
Um cookie de sessão é o que o navegador guarda depois que você entra. Não é uma permissão delegada: é a sessão autenticada. Quem tem uma cópia é indistinguível de você — mesmas permissões, mesmo alcance — enquanto a sessão estiver viva.
Isso significa que não há escopo a estreitar, porque sessão não tem escopo. Não há entrada na tela de permissões, porque nada foi concedido. E não há revogação individual, porque não existe nada individual a revogar: a única alavanca é encerrar a sessão, o que desconecta você de todos os outros lugares em que a estava usando.
As três portas lado a lado
| Concessão OAuth | Token de API cru | Cookie de sessão colado | |
|---|---|---|---|
| O que a ferramenta recebe | Um token com escopo | Uma chave, com escopo ou não | Uma cópia da sua sessão viva |
| Ela vê a sua senha | Não | Não | Não, mas não precisa |
| Aparece nos aplicativos conectados | Sim, pelo nome | Em geral não | Não |
| Dá para estreitar as permissões | Sim, no consentimento | Às vezes, na emissão | Não |
| Como você retoma | Remove o aplicativo, uma tela | Invalida o token onde foi emitido | Encerra a sessão, em todo lugar |
| O que uma troca de senha faz | Nada, a concessão continua | Nada | Encerra, junto das suas outras sessões |
| Até onde chega | Só até as permissões aprovadas | Até aquilo com que foi emitido | Até tudo o que você alcança |
Nada disso diz quais ferramentas são boas. Muito software competente pede um cookie colado porque a plataforma que ele automatiza nunca publicou uma API. O ponto é que as três linhas se comportam de forma diferente no pior dia, e convém saber em qual linha você está antes que esse dia chegue.
O que um escopo realmente limita
«Token com escopo limitado» é usado como tranquilizante, então vale ser preciso sobre o que a tranquilidade cobre.
Um escopo de publicidade normalmente permite ler dados de desempenho, criar e editar campanhas e enumerar os ativos de empresa que você aprovou. Não permite trocar sua senha, adicionar um método de login, ler suas mensagens privadas nem alcançar um produto diferente que você usa com a mesma conta. Um token emitido para uma plataforma não significa nada em outra.
O que o escopo não faz é tornar o acesso inofensivo. Um token com permissões de gestão de campanhas pode gastar dinheiro, porque gastar dinheiro é o que gestão de campanhas faz. O escopo encolhe o alcance; não o elimina. A expectativa razoável é «menor do que a conta e removível de uma tela», não «não pode dar errado nada».
É também por isso que a lista de permissões na tela de consentimento merece dois segundos. Se uma ferramenta de relatórios pede permissões de gestão de ativos, a desproporção é visível ali, uma única vez, e nunca mais depois.
A revogação é a parte que todo mundo pula
A higiene de acessos falha no fim, não no começo. Conceder é um ato deliberado com um botão; retirar é uma tarefa que ninguém agenda.
Três hábitos cobrem quase tudo.
Aprenda o caminho antes de precisar dele. Na maioria das plataformas, os aplicativos conectados ficam nas configurações de segurança ou de empresa, listados por nome e com a data de aprovação. Abra essa tela hoje, enquanto nada está errado, e leia. A lista quase sempre é mais longa do que se espera, e algumas entradas pertencerão a ferramentas avaliadas uma vez e nunca adotadas.
Revogue na saída, não «em algum momento». Quando uma ferramenta é abandonada, um colaborador sai ou um teste termina, a concessão deve ir embora na mesma semana. Uma agência sobre a qual escrevemos montou toda a rotina de saída exatamente em torno disso e a reduziu a um único clique, que é o instinto certo: se for chato, não vai acontecer.
Lembre que troca de senha não é revogação. Ela encerra sessões, então de fato mata cookies colados. Em geral não toca em concessões OAuth nem em tokens emitidos, e isso é deliberado: caso contrário, cada rotação de senha quebraria todas as integrações das quais você depende. Dois mecanismos, duas alavancas — e confundi-los é como «rotacionamos tudo» acaba tendo rotacionado um dos três.
Por que o canal de atualização faz parte do quadro
Agora a parte que não tem nada a ver com publicidade e vale para tudo o que você instala.
Qualquer componente que se atualiza sozinho tem um acordo permanente com a sua máquina: executar o que a cadeia de distribuição enviar em seguida, sem perguntar. Esse acordo não é uma falha. É a razão pela qual as correções de segurança chegam em horas em vez de trimestres, e todo produto sério o adota: navegadores, gerenciadores de senhas, extensões de ambientes de desenvolvimento, o sistema operacional embaixo de todos eles.
O custo é que a confiança é concedida antecipadamente. Então a pergunta útil sobre um componente instalado nunca é «eu confio neste fornecedor» — isso você já respondeu ao instalá-lo — e sim até onde este componente chega se uma atualização fizer algo que eu não esperava?
A resposta tem sempre o mesmo formato: exatamente até onde você permitiu, e nada além.
- Uma extensão com permissão para ler e alterar dados em todos os sites pode ler e alterar dados em todos os sites, inclusive nas páginas em que você está logado.
- Uma extensão limitada a um domínio fica confinada àquele domínio.
- Um componente que administra segredos de alto valor e irreversíveis alcança esses segredos, porque é o trabalho dele.
- Uma integração de servidor para servidor sem presença local não tem nada a alcançar na sua máquina, porque nada foi instalado.
Essa última linha não é vaidade, é um formato. E é também por isso que o conselho prático se reduz a segmentar em vez de escolher marca:
- Mantenha segredos irreversíveis fora de ambientes compartilhados. Frases de recuperação, chaves privadas, credenciais de administração e meios de pagamento não pertencem ao mesmo perfil de navegador que hospeda extensões genéricas. «Irreversível» é a palavra operativa: uma sessão roubada se encerra, uma chave privada vazada não se recupera.
- Leia o pedido de permissões naquela única vez em que ele aparece. «Ler e alterar todos os seus dados em todos os sites» é uma frase real com um significado real, e é mostrada exatamente uma vez.
- Prefira acessos revogáveis e com escopo às credenciais armazenadas, sempre que a plataforma der a escolha.
- Mantenha curta a lista do que está instalado. Cada extensão é um acordo permanente. Dez extensões são dez acordos.
- Assuma que qualquer componente com atualização automática um dia entregará algo inesperado, e projete para que a frase termine com «e ele chega até aqui, e não além».
Nenhum desses cinco passos exige adivinhar qual fornecedor terá um trimestre ruim. Esse é justamente o ponto: previsões não são confiáveis, segmentação é.
Duas camadas, dois ofícios
Circula a ideia de que navegadores antidetecção e plataformas de campanhas são respostas rivais à mesma pergunta. Não são: respondem a perguntas diferentes, e as pilhas que funcionam costumam conter as duas.
Navegadores antidetecção como o AdsPower resolvem acesso e identidade. Perfis isolados que não se enxergam, impressões digitais do navegador, proxy por perfil e acesso da equipe sem passar senhas adiante. Se você opera muitas contas, isso é infraestrutura de verdade, e não é algo que uma plataforma de campanhas forneça.
Plataformas de campanhas como a Wevion resolvem o que acontece depois que você entrou. Lançamento e medição em seis plataformas de anúncios — Meta, Google, TikTok, Taboola, Snapchat e Outbrain — regras de orçamento em cinco delas, comparação lado a lado em quatro, pausa e ativação em nível de conjunto de anúncios e de anúncio em três, e reversão e relançamento na Meta.
Camadas diferentes da mesma pilha. O perfil coloca você dentro da conta; depois é que o trabalho começa.
Conectar uma conta de anúncios a uma plataforma de campanhas não retira a camada de navegador do seu arranjo nem pede que você migre nada. Você abre o perfil como sempre, conecta a conta uma vez pela tela de consentimento da plataforma, e a partir dali o lançamento, as regras e a margem passam a viver em um painel em vez de seis abas. A versão longa desse argumento está em Wevion e os navegadores antidetecção.
Onde a Wevion fica, arquiteturalmente
Um parágrafo só, porque é um fato sobre a nossa construção e não um veredito sobre a de ninguém.
A Wevion se conecta às contas de anúncios via OAuth contra as APIs oficiais. Você se autentica no domínio da plataforma, nós recebemos um token com escopo, esse token é criptografado em repouso, e você pode remover a concessão nas configurações da plataforma quando quiser, sem tocar na sua senha nem em nenhuma outra integração. Não há nenhum componente nosso instalado na sua máquina, portanto não há nenhum canal de atualização nosso no seu quadro de riscos. A mecânica está escrita por extenso em como a Wevion se conecta.
O que isso não significa: não é a promessa de que uma conta nunca será restringida. Contas são restringidas também nas APIs oficiais, por razões de política e de qualidade que nada têm a ver com o modo como uma ferramenta se autenticou, e quem já comprou mídia em volume sabe disso. Os hábitos mais gerais no nível da conta estão reunidos em práticas de segurança para contas Meta.
Conclusão
Três portas, e elas não são intercambiáveis. OAuth entrega um token com escopo, com nome e revogável, e mantém sua senha na plataforma. Um token cru funciona, mas não deixa registro de si mesmo, então sobrevive no seu arranjo muito depois de você esquecer que ele existe. Um cookie de sessão colado não é concessão nenhuma: é a sua sessão duplicada, e o único jeito de retomá-la é encerrar a sessão para todo mundo, você incluído.
Em volta das três está a questão do que roda na sua máquina. Todo componente com atualização automática é um acordo permanente, e o jeito de ficar tranquilo com esse acordo não é prever fornecedores, e sim fazer aritmética de alcance: conceder estreito, manter os segredos irreversíveis no ambiente deles, manter curta a lista do que está instalado, e conhecer o caminho de revogação antes da manhã em que ele for necessário.
Comece o teste gratuito de 14 dias da Wevion e conecte uma conta de anúncios pela tela de consentimento da plataforma. O resto da sua pilha fica exatamente onde está.
Leituras relacionadas
- Como a Wevion se conecta: OAuth, tokens criptografados e por que nunca pedimos sua senha
- Segurança de tokens e cookies do Facebook: o que todo anunciante deveria saber
- Segurança de contas Meta em 2026: as práticas que realmente protegem
- Wevion e os navegadores antidetecção: duas camadas da mesma pilha
Perguntas frequentes
The Ad Signal
Insights semanais para media buyers que não adivinham. Um email. Apenas sinal.
Artigos relacionados
Como a Wevion Conecta às Contas de Anúncios Meta: OAuth, Tokens Criptografados e Por Que Nunca Pedimos Sua Senha
Antes de conectar uma ferramenta de anúncios a uma conta ativa, você precisa saber exatamente como ela entra. Aqui está o passo a passo completo de como a Wevion conecta à Meta — OAuth no domínio da Meta, um token criptografado com escopo limitado, aprovação obrigatória em cada alteração e nunca a sua senha.
Segurança de Tokens e Cookies do Facebook: O Que Todo Anunciante Deve Saber
Seu token de acesso do Facebook não é apenas uma string de caracteres — é uma chave que desbloqueia toda a sua operação publicitária. Quando você o entrega a uma ferramenta não verificada, está cedendo o controle de cada campanha, cada orçamento e cada real na sua conta de anúncios.
Segurança da Conta de Anúncios Meta em 2026: As Práticas Que Realmente Protegem
A maioria dos conselhos sobre banimento de conta é fatalismo baseado em sorte ou promessa falsa. Aqui está o manual preventivo que de fato muda as chances em 2026: respeite os limites de ritmo documentados da Meta, mantenha um humano em cada alteração, nunca automatize o painel e estruture-se para sobreviver antes de precisar.