Praktik Terbaik Implementasi JWT yang Aman

Keamanan JWT hanya sebaik implementasinya. Spesifikasinya fleksibel; fleksibilitas menciptakan kerentanan. Ikuti praktik terbaik berikut untuk menghindari jebakan umum yang telah menyebabkan pelewatan autentikasi pada sistem produksi.

Selalu tentukan algoritme yang diharapkan secara eksplisit: jwt.decode(token, key, algorithms=["RS256"]). Jangan pernah membaca algoritme dari header token untuk memilih kunci verifikasi atau jalur kode. Ini mencegah serangan alg=none dan kebingungan kunci.

Token akses: 15–60 menit. Token penyegaran: 7–30 hari, disimpan dalam kukis httpOnly (bukan localStorage). Saat kedaluwarsa, klien menggunakan token penyegaran untuk mendapatkan token akses baru dari server autentikasi tanpa autentikasi ulang.

Validasi aud (audiens) untuk memastikan token diterbitkan untuk layanan Anda, bukan layanan lain. Validasi iss (penerbit) terhadap URL server autentikasi Anda. Tanpa pemeriksaan ini, token dari aplikasi lain yang ditandatangani dengan kunci yang sama akan diterima.

Token akses dalam memori (variabel JS) — dihapus saat tab ditutup. Token penyegaran dalam kukis httpOnly, Secure, SameSite=Strict — tidak dapat diakses oleh JavaScript. Jangan pernah menyimpan JWT di localStorage — XSS dapat mencurinya.

JWT bersifat tanpa status — tidak memiliki mekanisme pencabutan bawaan. Pilihan: pertahankan daftar pencabutan yang diperiksa pada setiap permintaan; gunakan masa kedaluwarsa yang sangat singkat; gunakan token tanpa makna dengan pencarian terpusat untuk konteks dengan keamanan tinggi.

Lakukan rotasi kunci penandatanganan secara berkala. Publikasikan beberapa kunci dalam JWKS dengan nilai kid yang berbeda. Selama rotasi: terbitkan token baru dengan kid baru, pertahankan kunci lama tetap aktif hingga token lama kedaluwarsa, lalu hapus kunci lama dari JWKS.

Jangan pernah menaruh data sensitif (kata sandi, nomor jaminan sosial, kartu kredit) dalam muatan JWT — data tersebut dikodekan dengan base64url, bukan dienkripsi. Gunakan JWE (JSON Web Encryption) jika memerlukan klaim terenkripsi, atau simpan data sensitif di sisi server.

Kirim JWT hanya melalui HTTPS. JWT yang disadap melalui HTTP memungkinkan pelewatan autentikasi sepenuhnya. Tetapkan penanda Secure pada kukis. Gunakan HSTS untuk mencegah penurunan protokol. Jangan pernah mencatat string JWT lengkap dalam catatan server.

Gunakan pustaka yang terawat dengan baik: PyJWT 2+, python-jose, auth0/node-jsonwebtoken 9+, Nimbus JOSE + JWT (Java). Hindari implementasi verifikasi JWT dari awal. Periksa basis data CVE secara berkala untuk mengetahui kerentanan pustaka.

Uji semua vektor serangan: kirim token alg=none, token kebingungan RS256→HS256, token kedaluwarsa, token dengan audiens yang salah, dan muatan yang telah diubah. Gunakan jwt.io untuk membuat token pengujian. Tambahkan pengujian integrasi yang memastikan semua token tersebut ditolak dengan 401.

Di mana token penyegaran harus disimpan dalam aplikasi web?

Penggunaan JWT yang aman memerlukan algoritme yang telah ditetapkan, masa kedaluwarsa token akses yang singkat, penyimpanan token penyegaran dalam kukis httpOnly, validasi audiens/penerbit, dan rotasi kunci. Berikutnya: skema pembagian rahasia kriptografis.