Sesiones frente a tokens sin estado

HTTP le olvida entre solicitudes. Para mantener la sesión iniciada, puede almacenar una sesión en el servidor o entregar al cliente un token firmado.

Con una sesión, el servidor conserva el estado de su inicio de sesión y entrega al navegador una pequeña cookie que solo contiene un id de sesión. En cada solicitud, el servidor busca ese id. 🍪

Como el servidor almacena el estado, debe recordar a cada usuario activo. Ese estado del lado del servidor se vuelve pesado y difícil de compartir entre muchas máquinas.

Un token contiene la información del usuario y está firmado por el servidor. El servidor ya no almacena nada; solo verifica la firma en cada solicitud.

Sin estado significa que el servidor no conserva información sobre el cliente. Todo lo que necesita para confiar en usted viaja dentro del token en cada llamada.

Un JWT (JSON Web Token) es el token sin estado estándar. Es una cadena compacta y firmada que cualquier servidor que tenga la clave puede verificar al instante.

Un JWT tiene tres partes separadas por puntos: un header, un payload y una signature. El header indica el algoritmo utilizado para firmarlo.

La parte central contiene claims: pequeños datos, como el id del usuario o una fecha de expiración. Está codificada, no cifrada, así que nunca coloque secretos allí.

La signature se crea a partir del header, el payload y un secreto que solo conoce el servidor. Cambie un solo byte y la verificación fallará.

Los tokens son ideales para APIs y clientes móviles que escalan entre muchos servidores, ya que no se necesita un almacén de sesiones compartido para verificar a quien realiza la llamada.

Para un sitio web clásico renderizado en el servidor, las sesiones son más sencillas y fáciles de revocar. La elección adecuada depende de su aplicación, no de las modas.

Las sesiones almacenan el estado en el servidor; los JWT trasladan el estado firmado al cliente. Los tokens no tienen estado, por lo que son ideales para APIs escalables. 🚀