Guia

JWT no OAuth 2.0 e OpenID Connect

Como o JWT é usado no OAuth 2.0 e no OpenID Connect.

Access token: representa a permissão de acesso a um recurso (API). Muitas vezes é um JWT, mas seu formato não é imposto.
ID token (OIDC): um JWT que carrega o resultado da autenticação; deve ser um JWT e inclui sub, aud, iss, exp e claims de perfil.
Refresh token: usado para renovar o access token; geralmente é uma string opaca, portanto não se destina a ser decodificado.
Ao verificar, sempre confira iss, aud, exp e a assinatura; o OIDC verifica a assinatura com o JWKS (chaves públicas) do emissor.

Experimente decodificar um token você mesmoBasta colar e o cabeçalho, o payload e as claims se abrem na hora.

Abrir o decodificador

Relacionados

O que é um JWT

Um JWT (JSON Web Token) é um pequeno formato de token JSON assinado para transmitir informações com segurança entre partes.

A estrutura de três partes do JWT

Todo JWT consiste em header.payload.signature, e cada parte é codificada em base64url.

Checklist de segurança do JWT

Uma breve lista dos princípios-chave para usar JWT com segurança.

JWT versus autenticação por sessão

A diferença entre autenticação por token (JWT) e por sessão de servidor (cookie), e quando usar cada uma.

Erros comuns de JWT e soluções

Os erros que você mais encontra ao trabalhar com JWT, com suas causas e soluções.

Tokens de acesso e tokens de atualização

O papel do token de acesso de vida curta e do token de atualização que o renova.

JWS versus JWE (assinado vs criptografado)

Um JWT geralmente é um JWS assinado; para ocultar o conteúdo usa-se um JWE criptografado. Esta é a diferença.

Onde guardar um JWT: localStorage vs cookie

Onde você guarda um JWT no navegador muda o seu risco de XSS e CSRF.

Claims personalizadas (públicas vs privadas)

Além das claims registradas (iss, exp, ...), os tipos que você mesmo define e como evitar colisões.