JWT-Sicherheits-Checkliste

• Lehnen Sie alg=none und unerwartete Algorithmen ab; erlauben Sie nur den erwarteten Algorithmus.
• Die Payload ist nicht verschlüsselt — legen Sie darin niemals Passwörter, persönliche Daten oder andere Secrets ab.
• Halten Sie die Lebensdauer mit exp kurz und steuern Sie Gültigkeitsfenster und Wiederverwendung mit nbf und jti.
• Prüfen Sie bei der Signaturprüfung auch, ob iss und aud Ihren erwarteten Werten entsprechen.
• Secrets müssen lang und zufällig sein und dürfen niemals dem Client offengelegt werden.

Verwandt