Guia

JWS versus JWE (assinado vs criptografado)

Um JWT geralmente é um JWS assinado; para ocultar o conteúdo usa-se um JWE criptografado. Esta é a diferença.

JWS (assinado): apenas assina o cabeçalho e o payload. O conteúdo é base64url e legível por qualquer um; só a adulteração é verificada — é o JWT que você vê normalmente.
JWE (criptografado): criptografa o payload para ocultar o conteúdo. Ilegível sem a chave, usado para dados sensíveis, com estrutura de cinco partes (quatro pontos).
A maioria dos 'JWTs' são JWS. Este decodificador decodifica JWS (JWE precisa de uma chave de descriptografia).
Em resumo: só integridade → JWS; também confidencialidade → JWE (ou JWS sobre TLS).

Experimente decodificar um token você mesmoBasta colar e o cabeçalho, o payload e as claims se abrem na hora.

Abrir o decodificador

Relacionados

O que é um JWT

Um JWT (JSON Web Token) é um pequeno formato de token JSON assinado para transmitir informações com segurança entre partes.

A estrutura de três partes do JWT

Todo JWT consiste em header.payload.signature, e cada parte é codificada em base64url.

Checklist de segurança do JWT

Uma breve lista dos princípios-chave para usar JWT com segurança.

JWT versus autenticação por sessão

A diferença entre autenticação por token (JWT) e por sessão de servidor (cookie), e quando usar cada uma.

Erros comuns de JWT e soluções

Os erros que você mais encontra ao trabalhar com JWT, com suas causas e soluções.

Tokens de acesso e tokens de atualização

O papel do token de acesso de vida curta e do token de atualização que o renova.

Onde guardar um JWT: localStorage vs cookie

Onde você guarda um JWT no navegador muda o seu risco de XSS e CSRF.

Claims personalizadas (públicas vs privadas)

Além das claims registradas (iss, exp, ...), os tipos que você mesmo define e como evitar colisões.

JWT no OAuth 2.0 e OpenID Connect

Como o JWT é usado no OAuth 2.0 e no OpenID Connect.