Resumo

  • Um rascunho individual propõe um registro DNS com emissor, cliente OAuth e público exclusivo para um token que não concede permissões.
  • Remover o registro não revoga o agente; destinatários novos podem tratá-lo como não vinculado. Desativar o cliente bloqueia novos tokens, mas os antigos ainda têm prazo.

Retire o letreiro da porta e um novo porteiro pode parar de pedir o crachá. Esse é o risco de confundir sinalização com desligamento no rascunho Agent DNS-OAuth Link, de 20 de outubro. Um TXT _agent-oauth sob o nome do agente publica emissor, identificador do cliente OAuth e público exclusivo para a prova. O registro aponta a verificação. Não controla o emissor.

O agente obtém um token JWT em seu próprio servidor de autorização e o apresenta à outra organização. O destinatário consulta o DNS e as chaves públicas do emissor, confere assinatura, cliente, público e idade. Registro válido exige token; registro inválido leva à recusa. Sem registro, vale a política comum para remetentes não vinculados.

A prova não transporta autorização de acesso. O rascunho exige que o token não dê permissões e que seu público não seja aceito por um servidor de recursos. O nome do remetente precisa ser confirmado por canal protegido ou token ligado à sua chave, como em DPoP. Depois da conferência, o destinatário ainda decide quais ações permite. Publicar um nome não autoriza uma operação na rede alheia.

Apague agora o registro. Quem nunca viu o agente deixa de exigir essa prova e aplica as regras normais. Quem já viu vínculo válido deve continuar a pedir o token durante uma falha de consulta DNS, até uma busca bem-sucedida confirmar a remoção. Assim, uma pane não vira redução silenciosa do controle. A seção de revogação é direta: remover o registro não revoga o agente, apenas faz novos destinatários pararem de exigir o token de vínculo.

Para cessar a emissão, o operador desativa o cliente no servidor de autorização. Tokens anteriores podem continuar válidos até expirar ou superar a idade máxima aceita pelo destinatário; caches de DNS e de chaves também contam no intervalo. O texto recomenda até 120 minutos como padrão geral e exemplifica 5 a 15 minutos para ações de efeito rápido, como pagamentos ou mudanças de produção. Esses valores são orientação proposta, não resultado de implantação medida.

Uma resposta DNS falsificada poderia apontar para um cliente do atacante; uma resposta suprimida poderia fazer o vínculo desaparecer para quem não guardou memória. A proposta recomenda assinatura da zona e validação por DNSSEC. O Datatracker ainda a mostra como rascunho individual I-D Exists. Um exercício de retirada deve separar apagar o registro, desativar o cliente e esperar o último token perder validade.