# Autenticação no Supabase: login, usuários e permissões

> **Resposta Direta:** A Aula 4 de 15 ("Autenticação no Supabase: login, usuários e permissões"), parte do módulo "Produtos" do curso gratuito "Supabase sem mistério: banco, auth e RLS" na Escola de Aplicativos (ministrado por Mauro Mequelussi), ensina na prática: o aluno descobre a diferença entre autenticação e autorização e conhece os métodos de login disponíveis no Supabase, como e-mail, link mágico, Google e passkeys. Entenda o ciclo de vida dos tokens JWT e aprenda a evitar a clássica armadilha de segurança entre user_metadata e app_metadata.

## Ficha Técnica da Aula

- **Curso:** [Supabase sem mistério: banco, auth e RLS](https://www.escoladeaplicativos.com.br/cursos/supabase-sem-misterio)
- **Escola:** Escola de Aplicativos (https://www.escoladeaplicativos.com.br)
- **Instrutor:** Mauro Mequelussi
- **Módulo 2 de 4:** Produtos
- **Posição na trilha:** Aula 4 de 15
- **Duração da videoaula:** 5 min
- **Nível:** Iniciante
- **Idioma:** Português (PT-BR)
- **Custo:** 100% Gratuito (R$ 0)
- **Certificado:** Certificado gratuito verificável incluso ao concluir o curso
- **Acesso ao vídeo:** Resumo técnico aberto; videoaula em HD liberada mediante cadastro gratuito
- **URL canônica:** https://www.escoladeaplicativos.com.br/cursos/supabase-sem-misterio/autenticacao-no-supabase-login-usuarios-e-permissoes

## O que você vai aprender

- A distinção exata entre autenticação (quem você é) e autorização (o que você pode fazer).
- As características e restrições de senhas, links mágicos, Google OAuth e passkeys.
- Por que o serviço de envio de e-mail embutido no Supabase não deve ser usado em produção.
- O que compõe uma sessão de usuário: access token (JWT), refresh token e claims.
- A diferença essencial entre user_metadata e app_metadata para proteção de cargos e níveis de acesso.

## Pontos-chave da Aula

- Nunca crie tabelas manuais de senhas no esquema público; use o Supabase Auth.
- O esquema auth fica isolado da API pública por segurança; informações complementares do perfil devem residir em tabelas do esquema public.
- O e-mail padrão do Supabase tem limite de 2 envios por hora e serve exclusivamente para testes da equipe.
- user_metadata pode ser modificado diretamente pelo cliente no app; cargos, planos e permissões devem ser mantidos em app_metadata ou em tabelas protegidas.
- No plano gratuito, o Supabase oferece até 50 mil usuários ativos mensais (MAU).

## Capítulos e Tópicos da Videoaula

- **[00:00] O perigo de criar autenticação manual** — Por que você nunca deve criar tabelas de senhas na mão e o risco de guardar cargos no lugar errado.
- **[00:27] Autenticação versus autorização na prática** — A analogia da portaria e do crachá para entender a diferença entre saber quem é o usuário e decidir o que ele acessa.
- **[00:56] Como o Supabase Auth organiza os dados** — O esquema auth no Postgres, por que ele é isolado da API e como conectar com tabelas públicas de perfis.
- **[01:19] Métodos de login: senha, link mágico, Google e passkeys** — Visão geral dos formatos de entrada suportados pelo Supabase e os cuidados com cada um deles.
- **[02:28] O limite do servidor de e-mail padrão** — Por que o e-mail embutido de teste falha com clientes reais e a necessidade de configurar um provedor SMTP próprio.
- **[02:52] Estratégia de login no app do Funil** — A definição prática dos métodos de entrada para o dono e os vendedores no projeto do curso.
- **[03:01] Como funcionam as sessões e tokens JWT** — O papel do access token, do refresh token e como claims alimentam as regras de segurança.
- **[03:41] A armadilha do user_metadata contra o app_metadata** — A diferença crítica entre os metadados editáveis pelo usuário e os dados protegidos controlados pelo servidor.
- **[04:21] Quando usar provedores externos e recursos corporativos** — Cenários em que vale integrar serviços externos de autenticação e os limites da versão gratuita.
- **[04:40] Comparativo: Supabase Auth, Clerk, Auth0 e Firebase** — Diferenças entre serviços dedicados de login e a integração nativa do Supabase com o banco de dados.
- **[04:59] Limites de uso e precificação no plano gratuito** — Como funciona o cálculo de 50 mil usuários ativos mensais (MAU) no Supabase.
- **[05:09] Recapitulação e o que vem a seguir** — Resumo dos pontos fundamentais sobre autenticação e introdução ao módulo de Storage.

## Destaques Práticos

- **[01:28] Link mágico, Google e passkeys: qual escolher?**: Entenda as pegadinhas e os requisitos práticos de cada método moderno de login no Supabase.
- **[02:28] O erro de e-mail que quebra lançamentos**: Descubra por que o link de login funciona nos seus testes mas nunca chega no seu cliente em produção.
- **[03:43] A falha de segurança fatal do user_metadata**: Veja onde nunca guardar permissões de usuário para evitar que qualquer pessoa vire administrador do app.

## Conceitos e Tecnologias Abordados

- **Tópicos:** Supabase Auth, Autenticação vs Autorização, Magic Links, Tokens JWT, Metadados de Usuário, Segurança de Permissões
- **Ferramentas e Entidades:** Supabase, PostgreSQL, Google Cloud, Clerk, Auth0, Firebase Auth, Better Auth

## Documentação e Referências Oficiais

- [Documentação oficial de login sem senha (Magic Link)](https://supabase.com/docs/guides/auth/auth-email-passwordless)
- [Guia de configuração de login social com Google](https://supabase.com/docs/guides/auth/social-login/auth-google)
- [Visão geral sobre tokens JWT e claims no Supabase](https://supabase.com/docs/guides/auth/jwts)

## Perguntas Frequentes (FAQ)

### O que é ensinado na Aula 4 (Autenticação no Supabase: login, usuários e permissões) do curso Supabase sem mistério: banco, auth e RLS?

Nesta aula do módulo "Produtos" na Escola de Aplicativos, você aprende de forma prática: A distinção exata entre autenticação (quem você é) e autorização (o que você pode fazer).; As características e restrições de senhas, links mágicos, Google OAuth e passkeys.; Por que o serviço de envio de e-mail embutido no Supabase não deve ser usado em produção.; O que compõe uma sessão de usuário: access token (JWT), refresh token e claims..

### Como assistir ao vídeo completo da aula "Autenticação no Supabase: login, usuários e permissões" gratuitamente?

O resumo técnico estruturado desta aula é público e gratuito. Para assistir à videoaula completa em HD, basta entrar ou criar sua conta 100% gratuita na Escola de Aplicativos — o cadastro leva segundos e libera todas as 15 aulas do curso "Supabase sem mistério: banco, auth e RLS", controle de progresso, Tutor IA e emissão de certificado gratuito.

### Quais tecnologias e conceitos são abordados em "Autenticação no Supabase: login, usuários e permissões"?

A aula cobre diretamente os seguintes tópicos técnicos aplicados em produção: Supabase Auth, Autenticação vs Autorização, Magic Links, Tokens JWT, Metadados de Usuário, Segurança de Permissões.

### O curso "Supabase sem mistério: banco, auth e RLS" oferece certificado gratuito?

Sim. Ao assistir às 15 aulas do curso gratuito "Supabase sem mistério: banco, auth e RLS" na Área de Membros da Escola de Aplicativos, você emite gratuitamente um certificado digital em português com código de verificação pública.

## Como assistir à videoaula completa gratuitamente

Crie sua conta gratuita em segundos em https://www.escoladeaplicativos.com.br/login?redirect=%2Fm%2Fcursos%2Fsupabase-sem-misterio%2Faula%2Fautenticacao-no-supabase-login-usuarios-e-permissoes para assistir ao vídeo completo desta aula em HD na Área de Membros da Escola de Aplicativos, com progresso salvo, Tutor IA e certificado gratuito verificável.

## Navegação do Curso

- **Aula anterior:** [Aula 3: Tabelas, relações e SQL sem medo no Supabase](https://www.escoladeaplicativos.com.br/cursos/supabase-sem-misterio/tabelas-relacoes-e-sql-sem-medo-no-supabase)
- **Próxima aula:** [Aula 5: Supabase Storage: arquivos privados, URLs assinadas e upsert](https://www.escoladeaplicativos.com.br/cursos/supabase-sem-misterio/supabase-storage-arquivos-privados-urls-assinadas-e-upsert)