Autenticação no Supabase: login, usuários e permissões
Por Mauro Mequelussi · Curso gratuito Supabase sem mistério: banco, auth e RLS · Português (PT-BR)
Resposta direta · O que esta aula resolve
A Aula 4 de 15 ("Autenticação no Supabase: login, usuários e permissões"), parte do módulo "Produtos" do curso gratuito "Supabase sem mistério: banco, auth e RLS" na Escola de Aplicativos (ministrado por Mauro Mequelussi), ensina na prática: o aluno descobre a diferença entre autenticação e autorização e conhece os métodos de login disponíveis no Supabase, como e-mail, link mágico, Google e passkeys. Entenda o ciclo de vida dos tokens JWT e aprenda a evitar a clássica armadilha de segurança entre user_metadata e app_metadata.
Crie sua conta grátis para assistir a esta videoaula em HD
O resumo técnico e os capítulos abaixo são abertos para consulta. Crie sua conta 100% gratuita em segundos para liberar todas as 15 videoaulas em HD, controle automático de progresso, Tutor IA e certificado gratuito verificável.
- R$ 0 · Sem cartão de crédito
- Tutor IA tira-dúvidas da aula
- Certificado gratuito incluso
O que você vai aprender
- A distinção exata entre autenticação (quem você é) e autorização (o que você pode fazer).
- As características e restrições de senhas, links mágicos, Google OAuth e passkeys.
- Por que o serviço de envio de e-mail embutido no Supabase não deve ser usado em produção.
- O que compõe uma sessão de usuário: access token (JWT), refresh token e claims.
- A diferença essencial entre user_metadata e app_metadata para proteção de cargos e níveis de acesso.
Pontos-chave da aula
- Nunca crie tabelas manuais de senhas no esquema público; use o Supabase Auth.
- O esquema auth fica isolado da API pública por segurança; informações complementares do perfil devem residir em tabelas do esquema public.
- O e-mail padrão do Supabase tem limite de 2 envios por hora e serve exclusivamente para testes da equipe.
- user_metadata pode ser modificado diretamente pelo cliente no app; cargos, planos e permissões devem ser mantidos em app_metadata ou em tabelas protegidas.
- No plano gratuito, o Supabase oferece até 50 mil usuários ativos mensais (MAU).
Capítulos e roteiro técnico da aula
12 capítulos minutados- 00:00
O perigo de criar autenticação manual
Por que você nunca deve criar tabelas de senhas na mão e o risco de guardar cargos no lugar errado.
- 00:27
Autenticação versus autorização na prática
A analogia da portaria e do crachá para entender a diferença entre saber quem é o usuário e decidir o que ele acessa.
- 00:56
Como o Supabase Auth organiza os dados
O esquema auth no Postgres, por que ele é isolado da API e como conectar com tabelas públicas de perfis.
- 01:19
Métodos de login: senha, link mágico, Google e passkeys
Visão geral dos formatos de entrada suportados pelo Supabase e os cuidados com cada um deles.
- 02:28
O limite do servidor de e-mail padrão
Por que o e-mail embutido de teste falha com clientes reais e a necessidade de configurar um provedor SMTP próprio.
- 02:52
Estratégia de login no app do Funil
A definição prática dos métodos de entrada para o dono e os vendedores no projeto do curso.
- 03:01
Como funcionam as sessões e tokens JWT
O papel do access token, do refresh token e como claims alimentam as regras de segurança.
- 03:41
A armadilha do user_metadata contra o app_metadata
A diferença crítica entre os metadados editáveis pelo usuário e os dados protegidos controlados pelo servidor.
- 04:21
Quando usar provedores externos e recursos corporativos
Cenários em que vale integrar serviços externos de autenticação e os limites da versão gratuita.
- 04:40
Comparativo: Supabase Auth, Clerk, Auth0 e Firebase
Diferenças entre serviços dedicados de login e a integração nativa do Supabase com o banco de dados.
- 04:59
Limites de uso e precificação no plano gratuito
Como funciona o cálculo de 50 mil usuários ativos mensais (MAU) no Supabase.
- 05:09
Recapitulação e o que vem a seguir
Resumo dos pontos fundamentais sobre autenticação e introdução ao módulo de Storage.
Momentos de destaque na prática
Link mágico, Google e passkeys: qual escolher?
Entenda as pegadinhas e os requisitos práticos de cada método moderno de login no Supabase.
O erro de e-mail que quebra lançamentos
Descubra por que o link de login funciona nos seus testes mas nunca chega no seu cliente em produção.
A falha de segurança fatal do user_metadata
Veja onde nunca guardar permissões de usuário para evitar que qualquer pessoa vire administrador do app.
Notas de aula e guia de estudo
Autenticação não se resume a criar uma tela de login com usuário e senha. Nesta aula, você vai entender como o Supabase gerencia identidades de forma segura e como estruturar os acessos da sua aplicação sem criar brechas graves no banco de dados.
Você vai explorar os métodos de entrada mais comuns — como senhas, links mágicos, login social com Google e passkeys — além de dominar o funcionamento das sessões por tokens JWT e evitar erros clássicos de permissão.
O que você vai aprender
- A distinção exata entre autenticação (quem você é) e autorização (o que você pode fazer).
- As características e restrições de senhas, links mágicos, Google OAuth e passkeys.
- Por que o serviço de envio de e-mail embutido no Supabase não deve ser usado em produção.
- O que compõe uma sessão de usuário: access token (JWT), refresh token e claims.
- A diferença essencial entre
user_metadataeapp_metadatapara proteção de cargos e níveis de acesso.
Pontos-chave
- Nunca crie tabelas manuais de senhas no esquema público; use o Supabase Auth.
- O esquema
authfica isolado da API pública por segurança; informações complementares do perfil devem residir em tabelas do esquemapublic. - O e-mail padrão do Supabase tem limite de 2 envios por hora e serve exclusivamente para testes da equipe.
user_metadatapode ser modificado diretamente pelo cliente no app; cargos, planos e permissões devem ser mantidos emapp_metadataou em tabelas protegidas.- No plano gratuito, o Supabase oferece até 50 mil usuários ativos mensais (MAU).