Checklist de segurança do JWT

• Rejeite alg=none e algoritmos inesperados; permita apenas o algoritmo que você espera.
• O payload não é criptografado, então nunca coloque senhas, dados pessoais ou outros segredos.
• Mantenha a vida útil curta com exp e controle a janela de validade e a reutilização com nbf e jti.
• Ao verificar a assinatura, confira também se iss e aud correspondem aos valores esperados.
• Os segredos devem ser longos e aleatórios, e nunca devem ser expostos ao cliente.

Relacionados