Гайд

JWS против JWE (подписанный vs зашифрованный)

JWT обычно является подписанным JWS; чтобы скрыть содержимое, используют зашифрованный JWE. Вот разница.

JWS (подписанный): только подписывает заголовок и полезную нагрузку. Содержимое в base64url и читаемо всеми; проверяется лишь подделка — это привычный JWT.
JWE (зашифрованный): шифрует полезную нагрузку, скрывая содержимое. Без ключа нечитаемо, применяется для чувствительных данных, структура из пяти частей (четыре точки).
Большинство «JWT» — это JWS. Этот декодер декодирует JWS (для JWE нужен ключ расшифровки).
Кратко: нужна только целостность → JWS; нужна и конфиденциальность → JWE (или JWS поверх TLS).

Попробуйте декодировать токен самиПросто вставьте — заголовок, полезная нагрузка и утверждения раскроются мгновенно.

Открыть декодер

Связанные

Что такое JWT

JWT (JSON Web Token) — это небольшой подписанный формат JSON-токена для безопасной передачи информации между сторонами.

Трёхчастная структура JWT

Каждый JWT состоит из header.payload.signature, и каждая часть закодирована в base64url.

Чек-лист безопасности JWT

Короткий список ключевых принципов безопасного использования JWT.

JWT против сессионной аутентификации

Разница между аутентификацией по токену (JWT) и по серверной сессии (cookie) и когда что использовать.

Частые ошибки JWT и их решение

Самые частые ошибки при работе с JWT, их причины и способы устранения.

Токены доступа и токены обновления

Роль короткоживущего токена доступа и токена обновления, который его продлевает.

Где хранить JWT: localStorage vs cookie

От того, где вы храните JWT в браузере, зависит риск XSS и CSRF.

Пользовательские утверждения (публичные vs частные)

Помимо зарегистрированных утверждений (iss, exp, ...) — виды, которые вы задаёте сами, и как избежать коллизий.

JWT в OAuth 2.0 и OpenID Connect

Как JWT используется в OAuth 2.0 и OpenID Connect.