From a8c6b096f1170c9e2c17825cbf8abf9028a23744 Mon Sep 17 00:00:00 2001
From: Marcos Lohmann <12088263+mcloh@users.noreply.github.com>
Date: Wed, 14 Oct 2026 19:02:30 -0300
Subject: [PATCH] Document offline_access scope required by ChatGPT OAuth

---
 AUTENTICACAO.md | 4 +++-
 1 file changed, 3 insertions(+), 1 deletion(-)

diff --git a/AUTENTICACAO.md b/AUTENTICACAO.md
index 91cafe4..a12df8f 100644
--- a/AUTENTICACAO.md
+++ b/AUTENTICACAO.md
@@ -32,7 +32,9 @@ token, exigido pela ponte. Conserve profile/email conforme a política local.
 
 Crie client scope opcional bridge:access, incluindo-o em scope no access token. Adicione
 Audience mapper com Included Custom Audience igual a BRIDGE_OAUTH_AUDIENCE; associe ao
-cliente como scope opcional. Esse binding por scope e audiência é documentado pelo
+cliente como scope opcional. Associe também `offline_access` como scope opcional ao
+cliente: o ChatGPT pode solicitá-lo junto com `openid email bridge:access` para
+renovação da autorização. Esse binding por scope e audiência é documentado pelo
 Keycloak quando resource-indicators não está habilitado. Para esta ponte de um único
 recurso, a audiência é fixa e verificada pelo resource server. Não se afirma suporte
 genérico ao RFC8707/seleção dinâmica de resource por essa configuração.