O Que e um JWT? Compreender os JSON Web Tokens

O Que e um JWT e Por Que e Importante?

Um JSON Web Token (JWT) e uma forma compacta e segura de representar informacoes entre duas partes. Na pratica, e o mecanismo por tras da maioria dos sistemas de autenticacao modernos.

Os JWTs substituiram as sessoes do lado do servidor em muitos casos porque sao sem estado. O servidor nao precisa de armazenar dados de sessao.

As Tres Partes de um JWT

xxxxx.yyyyy.zzzzz

• Header: Tipo de token e algoritmo de assinatura.
• Payload: Claims com informacoes do utilizador. Claims padrao: sub, iat, exp.
• Assinatura: Garante que o token nao foi alterado.

Use o nosso descodificador JWT para visualizar o conteudo de qualquer token.

Algoritmos de Assinatura

• HS256: Simetrico. A mesma chave assina e verifica.
• RS256: Assimetrico. Chave privada assina, chave publica verifica.
• ES256: Similar ao RS256 com chaves mais curtas.

Boas Praticas de Seguranca

• Vida util curta (15 min a 1 hora)
• Armazenar em cookies HttpOnly
• Validar sempre assinatura, expiracao, emissor e audiencia
• Nao armazenar dados sensiveis no payload

JWT vs Sessoes Tradicionais

Sessoes: estado no servidor, facil invalidar. JWT: sem estado, escala bem, invalidacao antes da expiracao e complexa.

Casos de Uso

Autenticacao API, SSO, troca de informacoes. Explore com o nosso descodificador JWT.