Mineração de Processos de Autenticação: A Próxima Disciplina CIAM

1. Introdução#

As chaves de acesso estão impulsionando o CIAM. As melhores equipes estão começando a instrumentar a jornada de login de ponta a ponta, classificar os erros que nunca haviam registrado antes e analisar a telemetria do lado do cliente pela primeira vez. A grande maioria das equipes de identidade ainda não chegou lá: não há uma camada real de observabilidade de autenticação, nenhum grafo de eventos por sessão, nenhum dado de cerimônia do lado do cliente. As tentativas, sucessos e falhas do lado do servidor ainda são o quadro completo.

A mineração de processos de autenticação é o próximo passo lógico, mas apenas quando os dados de eventos subjacentes existirem. Sem a camada de observabilidade, não há nada a ser minerado. Com ela, uma nova disciplina se torna disponível. Ela se baseia diretamente na mineração de processos de negócios, que transformou os logs de eventos brutos de ERP em fluxos de trabalho otimizados na década de 2010. Aplicada à identidade, ela compara a jornada de login projetada com a jornada vivida, traz à tona caminhos de desvio e então fecha a lacuna com autenticação step-up refinada, regras de supressão ou mudanças de UX que são medidas de ponta a ponta.

Este artigo reformula o que as equipes de CIAM devem construir sobre a camada de observabilidade de autenticação.

1.1 Questões que este Artigo responde#

Neste artigo, lidamos com as seguintes questões:

1. O que a mineração de processos fez pelo BPM e qual é o paralelo direto para a autenticação?
2. Por que as implementações de chaves de acesso evidenciaram essa lacuna e por que os logs de autenticação nunca foram suficientes por si só?
3. Como é, na prática, um modelo de eventos de mineração de processos de autenticação de ponta a ponta?
4. Como a mineração de processos se conecta à autenticação step-up refinada e à autorização?
5. O que isso significa para o cenário de fornecedores de CIAM e para equipes de identidade que já possuem um IDP?

2. O que a Mineração de Processos fez pelo BPM#

2.1 Dos Logs de Eventos aos Processos otimizados#

A mineração de processos de negócios surgiu da constatação de que cada ERP, CRM ou sistema de tíquetes grava logs de eventos que, quando reconstruídos, revelam o fluxo de trabalho real, não o que está no wiki. Um pedido de compra que deveria passar por três aprovadores, na verdade, contornava dois deles em 40% das vezes. Um fluxo de sinistros documentado como uma linha reta retrocedeu em si mesmo cinco vezes para 18% dos sinistros. Ferramentas de mineração de processos como as popularizadas pela Celonis reconstruíram esses grafos a partir de eventos com marcação de tempo e permitiram que os operadores fizessem uma nova pergunta: onde o processo vivido diverge do processo projetado e qual é o custo dessa divergência?

2.2 Paralelo na Autenticação#

A autenticação tem a mesma estrutura. Cada login é uma sequência de eventos com marcação de tempo: página carregada, identificador inserido, desafio selecionado, prompt biométrico, assertion (asserção) retornada. O paralelo estrutural é exato. A diferença prática é que, ao contrário do ERP ou CRM, esses dados de eventos ainda não estão nos seus logs do IDP - pelo menos não na forma granular de que a mineração de processos precisa. Os IDPs registram os resultados de login e o método usado. Eles não registram a cerimônia subjacente do lado do cliente: invocação de Conditional UI, prompts biométricos, seleção do gerenciador de credenciais, abandono silencioso antes que uma solicitação alcance o servidor. Essa camada pré-asserção tem que ser instrumentada na camada de SDK de front-end e remontada em um grafo por sessão antes que a mineração de processos possa operar nela.

Assim que os dados estiverem lá, as mesmas técnicas se aplicam: jornada de chave de acesso projetada versus jornada de chave de acesso vivida, fluxo de recuperação projetado versus fluxo de recuperação vivido, step-up projetado versus step-up vivido. A disciplina acadêmica em torno desse trabalho está amadurecendo. Um ponto de entrada útil é o Manifesto de Mineração de Processos da Força-Tarefa do IEEE sobre Mineração de Processos, que estabelece a verificação de conformidade, a análise de variantes e o aprimoramento como as três técnicas centrais. Cada uma se mapeia perfeitamente à autenticação.

3. Por que as Implementações de Chaves de Acesso evidenciaram a Lacuna#

3.1 As Chaves de Acesso forçam as Equipes a repensarem os Registros de Frontend#

A autenticação clássica com senhas registrava três coisas do lado do servidor: tentativa, sucesso, falha. Isso é o suficiente para administrar um sistema de senhas, porque o modo de falha é simples: o usuário digitou uma string incorreta e a próxima tentativa funcionou ou não. Com chaves de acesso, os momentos críticos mudam para o frontend: disparo da Conditional UI, o navegador decidindo se vai apresentar um prompt, o gerenciador de credenciais oferecendo uma escolha, o desafio biométrico sendo bem-sucedido ou ignorado. Tudo isso acontece no dispositivo do consumidor, antes que a asserção alcance o backend.

Essa mudança é o motivo pelo qual muitas equipes agora estão repensando a forma como registram o comportamento do lado do cliente. Sem a instrumentação do frontend, eles não conseguem ver por que os usuários estão abandonando, quais etapas os usuários realizam antes do login ou o que de fato aconteceu quando uma tentativa de login não foi concluída. Os logs de servidor mostram apenas a ausência, não a causa. Veja nosso estudo aprofundado sobre a observabilidade de autenticação para a taxonomia de eventos completa.

3.2 Lacuna entre a Jornada projetada e a Jornada vivida#

Uma vez que as equipes tinham eventos do lado do cliente, elas puderam ver algo novo: a jornada de chave de acesso projetada (chegar no login, ver o botão de chave de acesso, tocar, autenticar, pronto) foi usada por talvez 30% dos usuários qualificados. Os outros 70% divergiram lateralmente através de campos de senha, login social, links mágicos ou abandonaram completamente. Esse é um problema de mineração de processos, não um problema de log. Nenhuma quantidade de códigos de erro adicionais do WebAuthn fecharia a lacuna por si só.

3.3 Por que os Logs de Autenticação nunca foram suficientes#

Os logs de autenticação sozinhos informam os resultados. Eles não dizem os caminhos. Uma taxa de sucesso de login de 92% em todos os métodos pode esconder uma taxa de abandono de 40% no caminho da chave de acesso e uma taxa de abandono de 15% no caminho da senha, nivelando como "ok". A mineração de processos recusa essa média. Ela insiste em observar cada variante separadamente e, em seguida, classificar as variantes por frequência, custo e taxa de falhas.

4. Como é a Mineração de Processos de Autenticação na Prática#

4.1 Modelo de Eventos: Processos, Eventos e Classificação de Resultados#

A unidade de análise não é um único evento, é um processo: uma tentativa completa de login ou acréscimo de credenciais no dispositivo do consumidor, do momento em que a superfície de autenticação carrega até o momento em que a sessão é concluída ou abandonada. Cada processo contém um fluxo de eventos granulares, traz metadados de identificação e termina em uma classificação de resultados que é mais rica do que a binária "sucesso ou falha".

Metadados do processo. Todo processo tem um ID de processo e um registro de data e hora. Ele está atrelado a um aplicativo, a um sistema operacional, a um navegador e a uma marca de dispositivo. É etiquetado com uma categoria de visitante (usuário real, testador manual, testador automatizado, ainda não classificado) para que o tráfego de automação e de bots possa ser segmentado antes que qualquer métrica seja calculada. Também carrega uma pontuação do processo e uma contagem de eventos, que são os dois sinais mais simples de "quão complexa foi essa sessão em particular".

Início de login. Cada processo registra como o fluxo foi iniciado. Os principais tipos de iniciação são text-field (o usuário digitou seu identificador), one-tap (um identificador armazenado foi reutilizado) e cui (a Conditional UI exibiu uma credencial sem um clique explícito em um botão). A iniciação é uma dimensão, não uma métrica: a mesma implantação pode parecer muito diferente no grupo cui do que no grupo text-field, e a média deles esconde exatamente o comportamento que a mineração de processos pretende revelar.

Classificação de resultados. Em vez de "sucesso" ou "falha", o resultado é uma de várias classes que se mapeiam a um comportamento distinto. Um exemplo para chaves de acesso é o seguinte:

• completed - a cerimônia foi concluída e o usuário está autenticado.
• filtered-explicit-abort - o usuário viu um aviso e cancelou explicitamente.
• filtered-implicit-abort - o usuário se afastou ou o tempo expirou sem decidir.
• filtered-passkey-intel - a camada de inteligência do lado do cliente suprimiu o caminho da chave de acesso de propósito, normalmente porque se sabe que a combinação dispositivo/sistema operacional está corrompida.
• filtered-no-start - o fluxo nunca passou da etapa de entrada.
• not-loaded - a superfície de autenticação nunca terminou de carregar.

A cerimônia de acréscimo (criação de credenciais) tem uma classificação paralela, incluindo um caso completed-exclude-credentials para quando um usuário já tem uma credencial.

Camadas de funil e inventário. Acima dos processos, duas camadas agregadas importam. Uma camada de funil agrupa os processos ao longo do tempo por resultado, iniciação, status de conclusão, sistema operacional e aplicativo, tanto para login quanto para acréscimo. Uma camada de inventário de credenciais agrupa as chaves de acesso existentes por status de sincronização (sincronizadas versus não sincronizadas), transporte (internal, hybrid, usb, nfc, ble, smart-card), autenticador (Apple, Google Password Manager, iCloud Keychain, Windows Hello, 1Password, Bitwarden, Dashlane, YubiKey), sistema operacional e navegador. Sem a camada de inventário, é impossível perguntar se uma determinada variante de desvio está concentrada em um gerenciador de credenciais ou estado de sincronização específico.

Esta é a forma mínima que torna a mineração de processos tratável. Cada evento traz metadados suficientes para ser agrupado, filtrado e classificado. Cada processo pode ser rastreado individualmente, o que possibilita os exemplos trabalhados abaixo.

4.2 Caminho Feliz vs. Análise de Desvio#

Uma vez que os eventos são armazenados como um grafo direcionado por sessão, você pode fazer a pergunta de mineração de processos: qual porcentagem das sessões segue o caminho feliz e, para aquelas que não o fazem, quais são as cinco principais variantes de desvio classificadas por frequência? Em nossos dados de análise, as cinco principais variantes geralmente representam 85% de todos os desvios. Consertar duas delas normalmente move os números mais do que qualquer teste A/B no caminho feliz.

4.3 Detecção de Desvio de Coorte#

As variantes mudam. Uma atualização de navegador, um lançamento de SO, uma mudança de gerenciador de credenciais podem fazer com que uma variante anteriormente menor de repente se torne dominante. A detecção de desvio de coorte é a disciplina de observar a distribuição de variantes por grupo de dispositivo/SO/navegador ao longo do tempo, em vez de analisar apenas a taxa de sucesso agregada. É assim que as equipes captam regressões silenciosas em horas, em vez de trimestres.

5. Da Mineração de Processos ao Step-up refinado#

5.1 Por que o Step-up tem sido subutilizado#

A autenticação step-up existe há mais de uma década. Ela tem sido subutilizada porque a maioria das equipes aplica o step-up da mesma forma, independentemente do risco: força um OTP em todas as transações acima de um limite. Essa é uma regra contundente, não uma decisão baseada em risco. Isso cria atrito em 95% das transações legítimas de alto valor para interromper os 5% que são suspeitos.

5.2 Jornadas com Pontuação de Risco#

Com dados de mineração de processos, você pode pontuar uma sessão continuamente. Reputação do dispositivo, taxa de sucesso da linha de base da coorte, anomalias de hora do dia, desvio do caminho histórico do próprio usuário, identidade do gerenciador de credenciais, reputação de IP. A pontuação de risco orienta então uma decisão de step-up refinada: exija um segundo fator apenas quando a pontuação de risco da sessão exceder o limite do valor da transação. Sessões de baixo risco para transações de alto valor são aprovadas. Sessões de alto risco para transações de baixo valor são intensificadas.

6. O que isso significa para o Cenário de Fornecedores de CIAM#

6.1 O Design de Jornada como uma Disciplina Especializada#

O setor de identidade historicamente incluiu o design de jornada dentro do IDP. Mecanismos de orquestração dentro do Okta, Ping, ForgeRock, Auth0 e outros permitem que você configure fluxos. O que eles não fazem bem é observá-los. Essa incompatibilidade é o que abre espaço para uma camada de análise especializada.

6.2 Por que nenhum IDP vai fornecer isso nativamente#

Os fornecedores de IDP otimizam para o plano de controle: quem pode entrar, com qual credencial, sob qual política. A mineração de processos é uma disciplina de plano de dados: cada evento, em escala, normalizado nas combinações de sistema operacional/navegador/gerenciador de credenciais. O volume de eventos, a cardinalidade e as linhas de base entre clientes funcionam contra uma construção nativa de IDP. Veja as notas de campo em nosso guia de compra versus construção de chaves de acesso para o mesmo padrão aplicado à camada SDK.

6.3 Camada de Análise como a nova Categoria#

O que surge é uma fina camada de análise e adoção que fica acima do IDP, absorve eventos do front-end, normaliza-os com as linhas de base entre implantações e fornece respostas às decisões de orquestração. Ela não substitui o IDP. Ela torna o IDP mensurável.

7. Como a Corbado ajuda na Mineração de Processos de Autenticação#

A Corbado fornece a camada de medição e adoção que fica acima dos IDPs existentes. Ela se integra com Okta, Auth0, Ory, ForgeRock e pilhas personalizadas sem substituí-las. O que ela adiciona é especificamente a capacidade de mineração de processos:

• Taxonomia de Eventos de ponta a ponta. O SDK do lado do cliente captura a cerimônia completa, do carregamento da página à asserção, incluindo eventos de pré-identificação, invocação da Conditional UI e seleção do gerenciador de credenciais.
• Análise de Variantes pronta para uso. A plataforma reconstrói grafos de jornada por coorte e classifica variantes de desvio por frequência, oportunidade de recuperação e custo.
• Alerta de Desvio de Coorte. Quando uma distribuição de variante muda para um sistema operacional, navegador ou gerenciador de credenciais específico, a plataforma sinaliza antes que se torne um problema do dia 2.
• Linhas de Base entre Implantações. Como a Corbado agrega dados anonimizados nos ambientes de clientes, novos erros ou regressões evidenciados em uma implantação são classificados e documentados antes de chegarem à sua. Veja por que a Corbado para a abordagem completa.
• Feedback para a Orquestração. Decisões de step-up pontuadas por risco e regras de supressão podem ser devolvidas ao IDP ou tratadas na camada de adoção, incluindo kill-switches dinâmicos e sugestões específicas de coorte.

8. Conclusão#

As chaves de acesso não eram o destino. Elas eram a cunha de instrumentação que está forçando a primeira onda de equipes de CIAM a registrar eventos do lado do cliente. Assim que a camada de observabilidade existe, uma nova disciplina se assenta sobre ela: mineração de processos de autenticação. É como as equipes de identidade passam de "o login foi bem-sucedido" para "qual variante da jornada esse usuário adotou, qual foi o custo e como a próxima sessão deve ser roteada de forma diferente". As equipes que constroem a camada de observabilidade primeiro, e a camada de mineração de processos logo depois, definirão o padrão da categoria. As equipes que permanecem em taxas de sucesso agregadas continuarão ignorando as variantes sistêmicas por trás delas.

Sobre a Corbado

Corbado é a Passkey Intelligence Platform para times de CIAM que rodam autenticação consumer em escala. Mostramos o que logs de IDP e ferramentas genéricas de analytics não enxergam: quais dispositivos, versões de SO, navegadores e gerenciadores de credenciais suportam passkeys, por que os registros não viram logins, onde o fluxo WebAuthn falha e quando uma atualização de SO ou navegador quebra silenciosamente o login — tudo sem substituir Okta, Auth0, Ping, Cognito ou seu IDP interno. Dois produtos: Corbado Observe adiciona observabilidade para passkeys e qualquer outro método de login. Corbado Connect entrega passkeys gerenciados com analytics integrado (junto ao seu IDP). VicRoads roda passkeys para mais de 5M de usuários com Corbado (+80% de ativação de passkey). Fale com um especialista em Passkeys →

FAQ#

O que é a Mineração de Processos de Autenticação?#

A mineração de processos de autenticação é a aplicação de técnicas de mineração de processos de negócios aos logs de eventos de login. Ela reconstrói o grafo direcionado de eventos por sessão, compara a jornada de autenticação vivida com a jornada projetada e classifica as variantes de desvio por frequência e custo. Ela se situa acima da observabilidade de autenticação e abaixo da orquestração.

Como ela se diferencia das Análises de Autenticação?#

As análises de autenticação relatam métricas como taxa de sucesso de login, taxa de abandono e taxa de uso de chaves de acesso. A mineração de processos vai além, reconstruindo a sequência completa de eventos por sessão e perguntando quais variantes da jornada existem, com que frequência cada uma ocorre e onde cada uma diverge do caminho feliz projetado. As análises relatam os resultados. A mineração de processos explica os caminhos.

Por que a Adoção de Chaves de Acesso torna essa Disciplina necessária?#

As implantações de chaves de acesso são o primeiro motivo pelo qual as equipes de CIAM estão instrumentando eventos do lado do cliente. Quando esses eventos existem, as métricas agregadas escondem muita coisa: uma taxa de sucesso de 92% pode mascarar uma taxa de abandono de 40% no caminho da chave de acesso. A mineração de processos recusa essa média e força as equipes a examinar as variantes separadamente.

Como a Mineração de Processos se conecta à Autenticação Step-up?#

A autenticação step-up funciona melhor quando é baseada no risco do que baseada em regras. A mineração de processos fornece as evidências no nível da sessão (linha de base da coorte, desvio do caminho histórico do usuário, reputação do dispositivo) que permitem a um mecanismo step-up tomar uma decisão minuciosa em vez de uma decisão baseada em limite contundente.

O meu IDP fornecerá isso nativamente?#

Improvável a curto prazo. Os IDPs otimizam para o plano de controle. A mineração de processos é uma disciplina de plano de dados com alto volume de eventos e alta cardinalidade entre combinações de sistema operacional, navegador e gerenciador de credenciais. O padrão corresponde ao que vemos na camada de SDK hoje, coberto em nosso guia de comprar versus construir.

Qual é a primeira coisa que uma Equipe de CIAM deve medir?#

Comece com a frequência da variante no caminho da chave de acesso: qual porcentagem das sessões segue o caminho feliz e quais são as cinco principais variantes de desvio classificadas por frequência? Esse único gráfico costuma ser suficiente para revelar as duas ou três correções que mais impulsionam a adoção de chaves de acesso em geral.