Entendendo o erro AADSTS70000 “invalid grant” no Microsoft Azure e no M365

By Mirko Peters · 2026-04-21

O erro AADSTS70000 “invalid grant” é uma dor de cabeça comum para administradores e desenvolvedores que trabalham com o Azure Active Directory e os serviços do Microsoft 365. Você…

Automatically translated with AI from the original post. Read the English original

Cover: Fix Conditional Access Loopholes in Microsoft 365

O erro AADSTS70000 “invalid grant” é uma dor de cabeça comum para administradores e desenvolvedores que trabalham com o Azure Active Directory e os serviços do Microsoft 365. Você costuma ver esse erro ao conectar sistemas ou automações pelo Power Platform, por complementos do Outlook ou por aplicativos que dependem dos fluxos de identidade da Microsoft.

Em poucas palavras, o erro AADSTS70000 significa que algo deu errado durante a autenticação, geralmente quando um aplicativo ou usuário tenta obter um token usando OAuth, mas a “concessão” (grant) não é mais válida. Isso pode derrubar um fluxo do Power Automate, quebrar uma integração com o Outlook ou interromper o login em qualquer aplicativo que use o Azure ou o Entra ID para autenticação. Se você atua em TI de nuvem ou em desenvolvimento de aplicativos, vale levar esse erro a sério, porque ele sinaliza problemas de autenticação e segurança que podem paralisar seus sistemas.

Saber como e onde esse erro pode aparecer é essencial para uma solução de problemas rápida e evita aqueles momentos de frustração em que algo simplesmente para de funcionar da noite para o dia, sem aviso prévio.

Entendendo as partes da mensagem de erro 70000 Invalid Grant

Quando você encontra o erro AADSTS70000 invalid grant, na verdade está olhando para duas partes-chave da mensagem de erro. A primeira é o próprio código de erro, “AADSTS70000”. Esse código aponta especificamente para problemas com concessões OAuth no framework de autenticação da Microsoft.

A segunda parte é o motivo, normalmente identificado como “invalid_grant” ou acompanhado de uma mensagem como “grant is invalid or malformed”. Isso indica que o servidor não conseguiu aceitar a solicitação de token, geralmente por causa de configurações incorretas, políticas de segurança ou problemas na estrutura da concessão.

Se você vir esse erro nos logs de entrada do Azure, às vezes ele incluirá detalhes extras, como “refresh token expired” ou “redirect URI mismatch”. Aprender a reconhecer esses padrões ajuda você a separar rapidamente erros do usuário, problemas de registro de aplicativo e configurações incorretas mais profundas do serviço, reduzindo o tempo de diagnóstico e levando você direto à documentação ou aos canais de suporte mais úteis da Microsoft.

O que causa o erro 70000 Invalid Grant?

Estes são os motivos mais comuns para o erro AADSTS70000 invalid grant aparecer. Cada um deles está relacionado a como o OAuth e o Azure AD lidam com tokens, segurança e configurações de registro de aplicativos:

Concessões OAuth malformadas ou expiradas: tokens de acesso e de atualização inválidos ou expirados são uma das principais causas. Se um token for usado após a data de expiração ou for adulterado em trânsito, o Azure AD o rejeita imediatamente.
URIs de redirecionamento incorretos ou configurações de cliente incompatíveis: pequenas diferenças no URI de redirecionamento registrado (até uma barra faltando) podem quebrar o fluxo. Alterar os detalhes do aplicativo sem atualizar as configurações do Azure AD é um culpado comum.
Problemas com tokens de atualização: tentar reutilizar um token de atualização revogado, ou usar um que esteja expirado ou emitido para outro cliente, dispara esse erro. Às vezes, administradores renovam segredos ou redefinem senhas e invalidam esses tokens sem perceber.
Interrupção por políticas de Acesso Condicional e MFA: se uma regra de MFA ou de conformidade do dispositivo for acionada no meio do fluxo, especialmente em contas de serviço ou de execução em segundo plano, a concessão é negada com pouca explicação. Esse é um caso sutil que costuma pegar até profissionais experientes. Precisa se aprofundar em políticas de Acesso Condicional e questões de confiança? Veja esta discussão sobre lacunas de políticas e melhores práticas.
Incompatibilidades de consentimento ou de escopo: quando permissões são revogadas, consentidas parcialmente ou os escopos de um aplicativo são descontinuados, integrações que funcionavam antes podem falhar de repente. Administradores e desenvolvedores que integram aplicativos de terceiros devem verificar se as permissões necessárias e o consentimento de administrador continuam em vigor. Para uma análise aprofundada do risco de consentimento OAuth no Entra ID, veja esta página.

Caminhos de solução para o erro 70000 Invalid Grant

Limpe os tokens em cache e autentique novamente: A correção mais rápida para problemas de token ou sessão é desconectar e reconectar a conta ou o serviço afetado. No Power Automate, Outlook e apps semelhantes, sair e entrar manualmente pode forçar um novo fluxo OAuth e resolver os erros de invalid grant.
Verifique e corrija os URIs de redirecionamento: Acesse o Portal do Azure e confirme que o URI de redirecionamento do registro do seu aplicativo corresponde exatamente ao que o app ou conector está enviando. Até um caractere a mais pode invalidar toda a autenticação quando o Azure valida a solicitação.
Valide o registro do aplicativo e os segredos de cliente: Garanta que quaisquer alterações recentes no registro do aplicativo, rotações de segredo ou mudanças de permissão estejam atualizadas. Segredos de cliente expirados ou incompatíveis são um vilão silencioso para integrações contínuas.
Revise as políticas de acesso condicional e o consentimento: Audite suas políticas de Acesso Condicional em busca de exclusões excessivamente amplas ou lacunas de conformidade de dispositivos, pois elas podem interromper fluxos sem nenhuma mensagem de erro óbvia. Restrinja os fluxos de consentimento do usuário e confirme que o consentimento de administrador continua sendo exigido onde necessário. Para estratégias de governança, veja este guia aprofundado de boas práticas de segurança.
Atualize os escopos de permissão: Confira novamente os escopos de permissão que seu aplicativo ou automação está solicitando. Escopos às vezes mudam de nome ou são descontinuados, especialmente no Microsoft Graph. Garanta que tudo esteja alinhado entre o código do aplicativo, o registro no portal e o histórico de consentimento.
Force a limpeza de tokens após mudanças de segurança: Se tokens possivelmente foram comprometidos ou você acabou de atualizar políticas de senha, use o Intune ou o Portal do Azure para revogar todas as sessões ativas e solicitar um novo login de todos os usuários e automações. Para saber mais sobre como combater ataques persistentes de acesso baseado em consentimento, leia este guia sobre riscos e mitigações de ataques de consentimento no Entra ID.

Problema no Power Automate: solucionando falhas de autenticação invalid grant

Reconecte ou atualize as conexões de dados afetadas: Se seu fluxo está apresentando o erro 70000, comece abrindo o fluxo no Power Automate, localizando as conexões que exibem avisos e simplesmente reconectando-as. Isso força o serviço a obter um novo token usando as credenciais mais recentes.
Verifique as permissões do usuário e a validade das credenciais: Garanta que o usuário atribuído ao seu fluxo tenha o acesso correto à fonte de dados. Se uma conta usada no fluxo estiver desabilitada, a senha tiver expirado ou os requisitos de MFA tiverem mudado, você verá falhas de autenticação persistentes.
Valide os escopos de permissão exigidos: Confira novamente se os escopos concedidos correspondem ao que seu fluxo precisa para ler ou enviar e-mails, criar arquivos ou adicionar itens ao SharePoint. Isso é especialmente importante com os conectores do Outlook e do Teams.
Revise as políticas de DLP e as restrições de conectores: As políticas de Prevenção contra Perda de Dados (DLP) podem interromper fluxos silenciosamente se um conector passar de desbloqueado para bloqueado ou for reclassificado pelos administradores. Para mais informações sobre como criar automações estáveis com os limites de DLP adequados, confira este guia de políticas de DLP para desenvolvedores do Power Platform.
Diferencie falhas transitórias de falhas persistentes: Às vezes, o erro 70000 decorre de interrupções de curta duração ou instabilidades do serviço. Uma falha isolada seguida de recuperação normalmente não é motivo de alarme, mas, se o erro persistir, comece a rastrear as permissões de conexão e os escopos de consentimento em todo o seu locatário.
Revise a configuração de governança: Lacunas na governança de ambientes ou de identidade podem permitir que riscos de autenticação se infiltrem com o tempo. Para dicas sobre governança do Power Platform, consulte este panorama de boas práticas.

Login no Azure com erro 70000: usando os logs do Azure AD e a auditoria para diagnóstico

Comece pelos logs de entrada do Azure AD: Acesse os logs de entrada (Sign-In logs) no Portal do Azure e filtre as falhas com o código "AADSTS70000". Verifique o motivo da falha, o aplicativo cliente e o IP de origem. Isso ajuda a identificar se o problema está relacionado ao usuário, ao aplicativo ou a uma questão de configuração.
Analise os padrões de comportamento de tokens e clientes: Procure erros repetitivos associados ao mesmo usuário, service principal ou app. Erros “invalid grant” consistentes logo após um evento agendado, como a rotação de secret, costumam indicar políticas de token desalinhadas ou refresh tokens expirados.
Use os logs de auditoria do Azure AD para ter mais contexto: Combine as falhas de sign-in com os logs de auditoria do Azure AD. Eles revelam alterações em registros de aplicativos, atualizações em políticas de acesso condicional e possíveis revogações em massa de tokens. Identificar uma mudança imediatamente antes do início dos erros pode levar você diretamente à causa raiz.
Aproveite ferramentas avançadas de auditoria: Para investigações mais amplas no Microsoft 365, ferramentas como o Microsoft Purview Audit oferecem retenção estendida e sinais detalhados para análise forense. Saiba como configurar e usar essas ferramentas em esta visão geral do Purview Audit.
Fortaleça a governança para estabilidade de longo prazo: Uma boa governança ajuda a evitar quebras silenciosas e o desvio cumulativo de políticas ao longo do tempo. Aplique barreiras de proteção com o Azure Policy e monitore as exceções. Para uma estratégia abrangente, veja o guia de governança corporativa do Azure.

Sincronização de horário e clock skew: a causa oculta dos erros invalid grant do OAuth

Uma das causas mais negligenciadas dos erros de invalid grant do AADSTS70000 é um simples desalinhamento do relógio do sistema, conhecido como clock skew. Quando o computador cliente e os servidores da Microsoft não concordam sobre a hora atual, os tokens OAuth e os códigos de autorização podem parecer expirados ou ainda não válidos, mesmo que todo o resto esteja correto.

Isso é especialmente complicado em ambientes virtualizados ou na nuvem, onde diferentes sistemas rodam com relógios levemente dessincronizados. Atrasos de rede ou modos de suspensão dos dispositivos podem agravar o problema, fazendo com que uma tentativa de autenticação válida falhe sem motivo aparente.

A solução? Sincronize regularmente todos os dispositivos com um servidor NTP confiável. Configure correções automáticas de horário nos seus controladores de domínio, máquinas virtuais e dispositivos dos usuários finais. Manter uma diferença de um ou dois minutos em relação à “hora real” é muito melhor do que enfrentar falhas misteriosas de concessão. Para uma visão mais ampla das abordagens proativas de segurança do Microsoft 365 e do Dynamics, incluindo controles adaptativos, confira este podcast sobre Zero Trust by Design.