Bedste praksis for sikker JWT-implementering

JWT'er er kun så sikre som deres implementering. Specifikationen er fleksibel; fleksibilitet skaber sårbarheder. Følg disse bedste praksisser for at undgå de almindelige faldgruber, som har ført til omgåelse af autentificering i produktionssystemer.

Angiv altid den forventede algoritme eksplicit: jwt.decode(token, key, algorithms=["RS256"]). Læs aldrig algoritmen fra token-headeren for at vælge verifikationsnøgle eller kodevej. Det forhindrer alg=none- og nøgleforvekslingsangreb.

Adgangstokens: 15-60 minutter. Fornyelsestokens: 7-30 dage, gemt i httpOnly-cookies (ikke localStorage). Ved udløb bruger klienten fornyelsestokenet til at hente et nyt adgangstoken fra autentificeringsserveren uden ny autentificering.

Valider aud (målgruppe) for at sikre, at tokenet blev udstedt til din tjeneste og ikke en anden. Valider iss (udsteder) mod URL'en til din autentificeringsserver. Uden disse kontroller ville et token fra en anden app, der er signeret med den samme nøgle, blive accepteret.

Adgangstokens i hukommelsen (JS-variabel) — ryddes ved lukning af fanen. Fornyelsestokens i httpOnly-, Secure- og SameSite=Strict-cookies — utilgængelige for JavaScript. Gem aldrig JWT'er i localStorage — XSS kan stjæle dem.

JWT'er er tilstandsløse — der er ingen indbygget tilbagekaldelse. Muligheder: vedligehold en tilbagekaldelsesliste (afvisningsliste), der kontrolleres ved hver anmodning; brug meget kort udløbstid; brug uigennemsigtige tokens med et centralt opslag i kontekster med høje sikkerhedskrav.

Roter signeringsnøgler regelmæssigt. Publicer flere nøgler i JWKS med forskellige kid-værdier. Under rotationen: udsted nye tokens med et nyt kid, hold den gamle nøgle aktiv, indtil gamle tokens udløber, og fjern derefter den gamle nøgle fra JWKS.

Læg aldrig følsomme data (adgangskoder, personnumre, kreditkort) i JWT-payloaden — den er base64url-kodet, ikke krypteret. Brug JWE (JSON Web Encryption), hvis du har brug for krypterede krav, eller opbevar følsomme data på serveren.

Overfør kun JWT'er via HTTPS. Et JWT, der opsnappes over HTTP, giver fuld omgåelse af autentificeringen. Sæt Secure-flaget på cookies. Brug HSTS for at forhindre nedgradering af protokollen. Log aldrig komplette JWT-strenge i serverlogs.

Brug aktivt vedligeholdte biblioteker: PyJWT 2+, python-jose, auth0/node-jsonwebtoken 9+, Nimbus JOSE + JWT (Java). Undgå at implementere JWT-verifikation fra bunden. Kontrollér regelmæssigt CVE-databaser for sårbarheder i biblioteker.

Test alle angrebsvektorer: indsend et alg=none-token, et RS256→HS256-forvekslingstoken, et udløbet token, et token med forkert målgruppe og en ændret payload. Brug jwt.io til at oprette testtokens. Tilføj integrationstests, som fastslår, at disse afvises med 401.

Sikker brug af JWT kræver fastlåste algoritmer, kort udløbstid for adgangstokens, lagring af fornyelsestokens i httpOnly-cookies, validering af målgruppe og udsteder samt nøglerotation. Næste emne: kryptografiske ordninger til deling af hemmeligheder.