JWT Anatomisi: Üst Bilgi, Yük ve İmza

JSON web belirteci (JWT), RFC 7519'da tanımlanan kompakt ve URL güvenli bir belirteç biçimidir. Beyanları (bir konu hakkındaki iddiaları) ve kriptografik imzayı tek bir dizede kodlayarak durum bilgisi tutulmayan kimlik doğrulamayı mümkün kılar.

JWT şu biçimdedir: base64url(header).base64url(payload).base64url(signature). Nokta, parçaları birbirinden ayırır. Başlık ve yük okunabilir durumdadır (base64url ile kodlanmıştır, şifrelenmemiştir). Kriptografik olan yalnızca imzadır.

Başlık bir JSON nesnesidir: {"alg":"HS256","typ":"JWT"}. alg, imzalama algoritmasını (HS256, RS256, ES256, none) belirtir. typ her zaman "JWT" değerindedir. Ek başlıklarda anahtar seçimi için kid (anahtar kimliği) bulunabilir.

Standart kayıtlı beyanlar: iss (veren), sub (konu), aud (hedef kitle), exp (sona erme Unix zaman damgası), nbf (başlangıç zamanı), iat (veriliş zamanı), jti (iptal için JWT kimliği). Özel beyanlar, eklenen diğer tüm anahtar-değer çiftleridir.

import base64, json token = "eyJ..." parts = token.split(".") header = json.loads(base64.urlsafe_b64decode(parts[0]+"==")) payload = json.loads(base64.urlsafe_b64decode(parts[1]+"==")) print(header, payload)

HS256 için: HMAC-SHA256(base64url(header)+"."+base64url(payload), secret). Alıcı bu değeri yeniden hesaplar ve imza parçasıyla karşılaştırır. Değerler eşleşiyor ve belirtecin süresi dolmamışsa belirteç geçerlidir.

RS256 için özel anahtar, header.payload dizesini RSA-SHA256 kullanarak imzalar. Açık anahtara sahip olan herkes, özel anahtara ihtiyaç duymadan doğrulama yapabilir. Açık anahtarlar JWKS (JSON Web Anahtar Kümesi) uç noktaları (ör. /.well-known/jwks.json) üzerinden dağıtılır.

Base64url, + işaretini - ile ve / işaretini _ ile değiştirir; = dolgusu kullanılmaz. Bu, JWT'leri yüzde kodlamasına gerek kalmadan URL'lerde, HTTP başlıklarında ve çerezlerde güvenle kullanmayı sağlar. Ham baytlar hâlâ şifrelenmiş değildir; yalnızca kodlanmıştır.

JWT yükü, base64url kodlamasını çözen herkes tarafından görülebilir. Gerçek şifreleme için "enc" algoritmasına sahip JWE (JSON Web Encryption) kullanmadığınız sürece gizli bilgileri (parolalar, sosyal güvenlik numaraları) JWT yüküne asla koymayın.

exp değerini kısa bir süreye ayarlayın (erişim belirteçleri için 15-60 dakika). Uzun ömürlü JWT'ler riski biriktirir; çalınmaları durumunda süreleri dolana kadar geçerli kalırlar. Yeni ve kısa ömürlü erişim belirteçleri vermek için güvenli biçimde saklanan yenileme belirteçlerini kullanın.

Kimlik sağlayıcıları (Auth0, Keycloak, Google) bir JWKS URL'si yayımlar. Doğrulayıcı, kid değerine göre açık anahtarları alır, önbelleğe koyar ve her istekte verenle iletişim kurmadan imzaları doğrular. Anahtar döndürme, JWKS uç noktasını günceller.

JWT, base64url ile kodlanmış üç JSON parçasından oluşur: başlık (algoritma), yük (beyanlar) ve imza. Yük okunabilir durumdadır; şifrelenmemiştir. Sırada HS256 ile RS256 arasında seçim yapmak var.