Daftar periksa keamanan JWT

• Tolak alg=none dan algoritma tak terduga; hanya izinkan algoritma yang Anda harapkan.
• Payload tidak dienkripsi, jadi jangan pernah taruh kata sandi, data pribadi, atau secret lain.
• Jaga masa hidup singkat dengan exp, dan kendalikan jendela masa berlaku serta penggunaan ulang dengan nbf dan jti.
• Saat memverifikasi tanda tangan, periksa juga bahwa iss dan aud cocok dengan nilai yang diharapkan.
• Secret harus panjang dan acak, dan tidak boleh terekspos ke klien.

Terkait