أفضل ممارسات تنفيذ JWT الآمن

لا تكون رموز JWT آمنة إلا بقدر أمان تنفيذها. فالمواصفة مرنة، والمرونة تخلق ثغرات. اتبع أفضل الممارسات التالية لتجنب المشكلات الشائعة التي أدت إلى تجاوز المصادقة في أنظمة الإنتاج.

حدّد دائمًا الخوارزمية المتوقعة صراحةً: jwt.decode(token, key, algorithms=["RS256"]). لا تقرأ الخوارزمية من ترويسة الرمز المميز لاختيار مفتاح التحقق أو مسار التعليمات البرمجية. يمنع ذلك هجمات alg=none والتباس المفاتيح.

رموز الوصول: 15-60 دقيقة. رموز التحديث: 7-30 يومًا، مخزّنة في ملفات تعريف الارتباط httpOnly (وليس localStorage). عند انتهاء الصلاحية، يستخدم العميل رمز التحديث للحصول على رمز وصول جديد من خادم المصادقة دون إعادة المصادقة.

تحقّق من aud (الجمهور) للتأكد من إصدار الرمز المميز لخدمتك، وليس لخدمة أخرى. تحقّق من iss (المُصدر) بمقارنته بعنوان URL لخادم المصادقة. من دون هذه الفحوصات، سيُقبل رمز مميز من تطبيق آخر موقّع بالمفتاح نفسه.

رموز الوصول في الذاكرة (متغير JS) — تُمسح عند إغلاق علامة التبويب. رموز التحديث في ملفات تعريف ارتباط httpOnly وSecure وSameSite=Strict — لا يمكن لـ JavaScript الوصول إليها. لا تخزّن رموز JWT في localStorage مطلقًا — إذ يمكن لـ XSS سرقتها.

رموز JWT عديمة الحالة — ولا تتضمن آلية إبطال مدمجة. الخيارات: الاحتفاظ بقائمة إبطال (denylist) والتحقق منها في كل طلب؛ استخدام مدة صلاحية قصيرة جدًا؛ استخدام رموز معتمة مع بحث مركزي في السياقات عالية الأمان.

دوّر مفاتيح التوقيع بانتظام. انشر مفاتيح متعددة في JWKS مع قيم kid مختلفة. أثناء التدوير: أصدر رموزًا مميزة جديدة باستخدام kid جديد، وأبقِ المفتاح القديم نشطًا حتى تنتهي صلاحية الرموز القديمة، ثم أزل المفتاح القديم من JWKS.

لا تضع بيانات حساسة (كلمات المرور، وأرقام الضمان الاجتماعي، وبطاقات الائتمان) في حمولة JWT مطلقًا — فهي مشفّرة بترميز base64url وليست مشفّرة تشفيريًا. استخدم JWE (JSON Web Encryption) إذا احتجت إلى مطالبات مشفّرة، أو احتفظ بالبيانات الحساسة على الخادم.

انقل رموز JWT عبر HTTPS فقط. يؤدي اعتراض JWT عبر HTTP إلى تجاوز كامل للمصادقة. اضبط العلامة Secure في ملفات تعريف الارتباط. استخدم HSTS لمنع خفض مستوى البروتوكول. لا تسجّل سلاسل JWT الكاملة في سجلات الخادم مطلقًا.

استخدم مكتبات تحظى بالصيانة الجيدة: PyJWT 2+، وpython-jose، وauth0/node-jsonwebtoken 9+، وNimbus JOSE + JWT (Java). تجنّب تنفيذ التحقق من JWT من الصفر. تحقّق بانتظام من قواعد بيانات CVE بحثًا عن ثغرات المكتبات.

اختبر جميع مسارات الهجوم: أرسل رمز alg=none، ورمز التباس RS256→HS256، ورمزًا منتهي الصلاحية، ورمزًا بجمهور خاطئ، وحمولة معدّلة. استخدم jwt.io لإنشاء رموز اختبار. أضف اختبارات تكامل تؤكد رفض هذه الرموز برمز الحالة 401.

أين ينبغي تخزين رموز التحديث في تطبيق ويب؟

يتطلب الاستخدام الآمن لـ JWT تثبيت الخوارزميات، وقِصر مدة صلاحية رموز الوصول، وتخزين رموز التحديث في ملفات تعريف ارتباط httpOnly، والتحقق من الجمهور والمُصدر، وتدوير المفاتيح. التالي: مخططات التقاسم التشفيري للأسرار.