Lição: Autenticação, Segurança e Permissões

Esta lição cobre como o usuário entra no sistema, como recupera a senha, como gerencia o próprio perfil e — o ponto central — como o Rabi controla quem pode ver e fazer o quê. Ao final você deverá dominar o fluxo de login via Keycloak (SSO), a recuperação de senha, a rota Minha Conta, o logout seguro e, principalmente, o modelo de permissões em produção: papel (Role) + 4 ações fixas por módulo.

⚠️ Leia isto antes de tudo. O modelo de permissões EM PRODUÇÃO é papel (Role) + 4 ações fixas (VIEW / CREATE / UPDATE / DELETE) por módulo. O chamado sistema de "permissões granulares" (múltiplos perfis por usuário, ações configuráveis, grupos, tela admin, sincronização com Keycloak) é apenas ROADMAP (GitLab #395) — ainda NÃO está disponível. Nesta lição, tudo que for granular está marcado como 🟠 planejado.

Como acessar o sistema

O Rabi é uma aplicação web (SPA em React/Vite), acessível por qualquer navegador moderno, sem instalação. Endereço de produção:

http://app.rabisistemas.com.br/

Ao abrir o endereço sem estar autenticado, você é redirecionado automaticamente para a tela de login (/login). Navegadores recomendados: Chrome, Edge ou Firefox em versão recente.

⚠️ Acesso não é público. É preciso ter conta previamente cadastrada pelo administrador da clínica. Usuários sem cadastro não conseguem entrar.

A tela de login é gerenciada pelo Keycloak. Elementos:

Elemento	Função
Campo E-mail	E-mail vinculado à conta
Campo Senha	Senha criada no cadastro ou última redefinição
Botão "Entrar"	Confirma as credenciais e inicia a sessão
Link "Esqueci minha senha"	Inicia a recuperação por e-mail

Acesse app.rabisistemas.com.br.
Você é redirecionado para /login.
Informe o e-mail cadastrado pelo administrador.
Informe a senha.
Clique em Entrar.
Validadas as credenciais, você vai ao Dashboard principal.

⚠️ Segurança de acesso. Nunca compartilhe sua senha. Cada usuário deve ter acesso individual para garantir a rastreabilidade das ações.

Recuperação de senha

É possível redefinir a senha de forma autônoma pelo fluxo do Keycloak:

Na tela de login, clique em "Esqueci minha senha".
Você vai à página de recuperação do Keycloak.
Informe o e-mail da conta e confirme.
Verifique a caixa de entrada (e o spam/lixo eletrônico).
Abra o e-mail e clique no link de redefinição.
Crie a nova senha nos dois campos e confirme.
Volte ao login e entre com a nova senha.

ℹ️ Validade do link. O link de redefinição expira por segurança (geralmente 5 minutos). Se expirar, repita o processo para receber um novo.

⚠️ Conta bloqueada. Muitas tentativas com senha incorreta podem bloquear temporariamente a conta. Aguarde alguns minutos ou peça desbloqueio ao administrador.

Minha Conta (perfil do usuário)

Após logar, o usuário acessa seus dados de perfil, gerenciados pelo Keycloak. Rota: /portal/minha-conta. A página exibe:

Nome completo do usuário
E-mail cadastrado
Dados de login e segurança
Opção de alterar a senha diretamente
Sessões ativas (dispositivos conectados)
Foto de perfil (upload de avatar) e histórico de atividades

ℹ️ Alteração de dados. Alterar nome de exibição/e-mail pode exigir confirmação do administrador conforme a configuração da clínica. A alteração de senha fica disponível diretamente ao usuário.

Logout seguro

Encerre a sessão pela função de logout no menu do perfil — não basta fechar a aba, pois a sessão pode permanecer ativa.

Clique na foto/nome do usuário no canto superior direito (topbar).
No menu, clique em "Sair" (ícone de saída).
Você é desconectado e volta à tela de login.

⚠️ Sempre faça logout. Em computadores compartilhados, deixar a sessão ativa expõe dados sensíveis de pacientes (LGPD) e informações financeiras.

Autenticação com Keycloak (SSO)

O Rabi usa o Keycloak como provedor de identidade centralizado, com o padrão OAuth2 / OpenID Connect. Consequências práticas:

Usuários, senhas e sessões são geridos pelo Keycloak, não pelo Rabi diretamente.
As credenciais nunca trafegam para a aplicação — o Rabi recebe apenas um token de acesso validado.
Suporta Single Sign-On (SSO): uma autenticação dá acesso a sistemas do mesmo realm.
Usa browser flow; Direct Access Grants é desabilitado por segurança.
As sessões expiram após período de inatividade configurado pelo administrador.

Realms por ambiente: rabisystems-dev, rabisystems-hmg (homologação) e rabisystems (produção). Cliente: rabi.client.sistemas.*. Homologação: Keycloak em login.hmg.rabisistemas.dev, app em sistema.hmg.rabisistemas.dev.

Sistema de permissões (modelo em produção)

✅ Em produção. Cada usuário recebe um papel (Role) e, por módulo, um dos 4 níveis de ação fixos. Este é o modelo real hoje.

As permissões organizam-se em dois eixos: o grupo (o módulo) e o nível de ação dentro dele.

Níveis de ação (4 fixos)

Nível	O que permite
NONE	Sem acesso — não vê nem acessa o módulo
VIEW	Visualizar / consultar; não cria, edita ou exclui
CREATE	Criar novos registros (requer VIEW)
UPDATE	Editar registros existentes (requer VIEW)
DELETE	Excluir registros — conceda com cautela (pode ser irreversível)

Ordem de menos a mais permissivo: NONE < VIEW < CREATE < UPDATE < DELETE.

Grupos de funcionalidade (módulos)

Grupo	Módulo correspondente
AGENDAMENTO	Consultas, procedimentos e agenda dos profissionais
ATENDIMENTO	Atendimentos, prontuários e acolhimento
PACIENTES	Cadastro e manutenção de pacientes
FINANCEIRO	Lançamentos, contas a pagar/receber, fluxo de caixa
FATURAMENTO	Guias, faturamento de convênios e cobrança
CONFIGURACOES	Parametrização e cadastros auxiliares
ESTOQUE	Produtos, entradas e saídas
RELATORIOS	Relatórios gerenciais e operacionais
DASHBOARD	Painel de indicadores e métricas

ℹ️ Ajuste de permissão. Se não conseguir acessar algo que deveria, procure o administrador da clínica. Somente administradores alteram perfis de acesso (em Configurações → Usuários e Permissões).

🟠 Permissões granulares (roadmap — NÃO está em produção)

🟠 Planejado (GitLab #395, Sprint 9, 04–11/set) — ainda NÃO disponível. Há um refactor planejado do controle de permissões. Enquanto não for promovido a produção, vale o modelo Role + 4 ações fixas descrito acima. O quadro abaixo é apenas o desenho futuro.

Comparativo entre o modelo atual (produção) e o planejado:

Aspecto	Atual (produção)	Planejado (#395)
Papéis por usuário	1 (Role)	N (PerfilPermissao)
Ações	4 fixas	10+ configuráveis (EXPORT, IMPRIMIR, AUTORIZAR, CANCELAR, ESTORNAR...)
Granularidade	Por módulo	Por permissão
Grupos	Não	GrupoPermissao
Customização	Hard-coded	Tela admin
Sincronização Keycloak	Não (só autenticação)	Sim (sincroniza grupos/perfis)

No desenho futuro, o colaborador poderia ter vários perfis, a permissão efetiva seria a união das ações de todos os perfis, com cache de resolução e auditoria de mudanças. Nada disso está no ar hoje.

Novidades de julho/2026 — recursos transversais ✅ Novo — jul/2026

Entregue no ciclo de julho/2026; se ainda não apareceu no seu ambiente, chega na próxima atualização.

Guard de edição (#401/#404): confirmação ao sair de uma tela com alterações não salvas — evita perda de dados por navegação acidental.
Idempotência anti-duplo-clique (#408): proteção contra registros duplicados por duplo clique.
Busca global (#456): busca por parte de nome, telefone, e-mail ou CPF.
Setas próximo/anterior (#459): navegação por setas no topo das telas.

🟠 Seguem roadmap (não estão em produção): permissões granulares (#395 — Sprint 9, 04–11/set), travas de edição entre usuários (#407 — Sprint 5) e sessão única por usuário (#482 — Sprint 4, em desenvolvimento).

Rastreabilidade e LGPD

Como cada usuário tem acesso individual, o sistema mantém Logs de Auditoria (em Relatórios) registrando quem fez o quê e quando. Isso é essencial para a LGPD: dados pessoais de pacientes são protegidos e as ações ficam rastreáveis. Por isso o compartilhamento de senha é proibido — ele quebra a rastreabilidade.

Erros comuns e como resolver

Sintoma	Causa provável	Solução
Não consigo entrar	Conta não cadastrada / e-mail errado	Peça cadastro ao administrador; confira o e-mail
Conta bloqueada	Várias tentativas com senha errada	Aguarde alguns minutos ou peça desbloqueio
Link de redefinição não funciona	Link expirado (≈5 min)	Refaça "Esqueci minha senha"
Não vejo um módulo que deveria	Nível NONE naquele grupo	Peça ajuste de permissão ao administrador
Erro 403 ao tentar uma ação	Nível insuficiente (ex.: tem VIEW, precisa de UPDATE)	Solicite nível maior no grupo correspondente
Sessão continua ativa após fechar aba	Não fez logout	Use sempre "Sair" no menu do perfil

Pontos-chave

A autenticação é feita pelo Keycloak (OAuth2/OIDC, SSO, browser flow, Direct Access Grants desabilitado).
Recuperação de senha é autônoma por e-mail; o link expira em ~5 min.
Cada usuário tem acesso individual — nunca compartilhe senha (rastreabilidade e LGPD).
Permissões em produção = Role + 4 ações fixas por módulo: NONE < VIEW < CREATE < UPDATE < DELETE.
São 9 grupos (módulos): AGENDAMENTO, ATENDIMENTO, PACIENTES, FINANCEIRO, FATURAMENTO, CONFIGURACOES, ESTOQUE, RELATORIOS, DASHBOARD.
Permissões granulares são roadmap (#395, Sprint 9) — não estão disponíveis.
Entregues em julho/2026 (transversais): guard de edição (#401/#404), idempotência anti-duplo-clique (#408), busca global (#456) e setas próximo/anterior (#459).

O que a prova vai cobrar

Qual é o modelo de permissões em produção (Role + 4 ações fixas) e a ordem dos níveis.
Que a autenticação é via Keycloak (SSO, OAuth2/OIDC, browser flow) e não guarda senha no Rabi.
O fluxo de recuperação de senha e a validade limitada do link.
Por que cada usuário deve ter acesso individual (rastreabilidade e LGPD).
Reconhecer que "permissões granulares" é planejado (#395) e NÃO está em produção.