HS256 versus RS256: JWTs simétricos versus assimétricos

A assinatura de JWT usa algoritmos simétricos (HMAC) ou assimétricos (RSA, ECDSA). HS256 = HMAC-SHA256. RS256 = RSA-PKCS1v1.5-SHA256. ES256 = ECDSA-P256-SHA256. A escolha afeta a distribuição de chaves e o modelo de confiança.

O HS256 usa uma única chave secreta compartilhada tanto para assinar quanto para verificar. O emissor e cada verificador precisam possuir o mesmo segredo. É simples de implementar, mas exige uma distribuição segura da chave para todos os verificadores.

O HS256 é apropriado quando o emissor e o verificador são o mesmo serviço (por exemplo, uma API monolítica que assina e verifica seus próprios tokens). Nunca use HS256 se vários serviços independentes precisarem verificar tokens — todos eles precisarão do segredo.

O RS256 usa uma chave privada para assinar e uma chave pública para verificar. Somente o servidor de autenticação possui a chave privada. Todos os servidores de recursos buscam a chave pública no endpoint de JWKS e verificam localmente — não é necessário compartilhar segredos.

O RS256 é ideal para arquiteturas de microsserviços: o provedor de identidade assina os tokens; cada serviço subsequente verifica usando a chave pública, sem contatar o IDP a cada solicitação. A arquitetura escala horizontalmente sem o risco da distribuição de chaves.

O ES256 usa ECDSA sobre P-256. O tamanho da assinatura é de 64 bytes, contra 256 bytes do RS256 para uma chave de 2048 bits. A verificação é cerca de 10 vezes mais rápida que a do RS256. É preferível quando a largura de banda ou a velocidade de verificação é crítica (APIs móveis, IoT).

Para RS256/ES256: faça a rotação das chaves publicando uma nova chave (novo kid) no JWKS, assinando novos tokens com a nova chave, permitindo um período de tolerância para que os tokens antigos expirem e, depois, removendo a chave antiga. A rotação de HMAC exige redistribuir o novo segredo.

Verificação HS256: ~1 µs. Verificação RS256: ~100 µs (2048 bits). Verificação ES256: ~50 µs (P-256). HS256 é o mais rápido, mas exige o compartilhamento do segredo. ES256 oferece o melhor equilíbrio entre segurança e desempenho para sistemas distribuídos.

Uma vulnerabilidade crítica: se o verificador confiar cegamente no cabeçalho alg, um invasor poderá alterar alg de RS256 para HS256 e assinar o token com a chave pública do servidor (que é pública), usando-a como segredo HMAC. Correção: nunca confie no cabeçalho alg.

Decisão: serviço único → HS256. Vários serviços/microsserviços → RS256 ou ES256. Aplicativo móvel de alto volume → ES256. Em caso de dúvida, use ES256 (P-256) ou RS256 com chaves de 2048 bits ou mais. Nunca use RS512 em caminhos sensíveis ao desempenho.

Use PyJWT (Python), jose (Node.js) ou auth0/java-jwt. Sempre fixe o algoritmo esperado na chamada de verificação: jwt.decode(token, secret, algorithms=["HS256"]). Nunca passe algorithms=None nem omita o parâmetro.

Por que RS256 é preferível a HS256 em arquiteturas de microsserviços?

HS256 é simétrico (segredo compartilhado); RS256/ES256 são assimétricos (chave privada para assinar, chave pública para verificar). Use algoritmos assimétricos em sistemas com várias partes. Próximo: exploração de vulnerabilidades de JWT.