Güvenli JWT Uygulaması için En İyi Uygulamalar

JWT'ler yalnızca uygulamaları kadar güvenlidir. Belirtim esnektir; bu esneklik güvenlik açıkları oluşturur. Üretim sistemlerinde kimlik doğrulamanın atlatılmasına yol açan yaygın sorunlardan kaçınmak için aşağıdaki en iyi uygulamaları izleyin.

Beklenen algoritmayı her zaman açıkça belirtin: jwt.decode(token, key, algorithms=["RS256"]). Doğrulama anahtarını veya kod yolunu seçmek için algoritmayı asla belirtecin üstbilgisinden okumayın. Bu, alg=none ve anahtar karışıklığı saldırılarını önler.

Erişim belirteçleri: 15-60 dakika. Yenileme belirteçleri: 7-30 gün; httpOnly çerezlerinde (localStorage'da değil) saklayın. Süre dolduğunda istemci, yeniden kimlik doğrulaması yapmadan kimlik doğrulama sunucusundan yeni bir erişim belirteci almak için yenileme belirtecini kullanır.

Belirtecin başka bir hizmet için değil, sizin hizmetiniz için yayımlandığından emin olmak üzere aud (hedef kitle) değerini doğrulayın. iss (yayımcı) değerini kimlik doğrulama sunucunuzun URL'sine karşı doğrulayın. Bu denetimler olmadan, aynı anahtarla imzalanmış başka bir uygulamaya ait belirteç kabul edilir.

Erişim belirteçlerini bellekte (JS değişkeninde) tutun; sekme kapatıldığında temizlenir. Yenileme belirteçlerini httpOnly, Secure, SameSite=Strict çerezlerinde tutun; bunlara JavaScript erişemez. JWT'leri asla localStorage'da saklamayın; XSS bunları çalabilir.

JWT'ler durum bilgisi tutmaz; yerleşik bir iptal mekanizması yoktur. Seçenekler: her istekte denetlenen bir iptal listesi (engelleme listesi) tutmak; çok kısa bir geçerlilik süresi kullanmak; yüksek güvenlik gerektiren bağlamlarda merkezi aramayla opak belirteçler kullanmak.

İmzalama anahtarlarını düzenli olarak yenileyin. Farklı kid değerlerine sahip birden çok anahtarı JWKS'de yayımlayın. Yenileme sırasında: yeni belirteçleri yeni kid ile çıkarın, eski belirteçlerin süresi dolana kadar eski anahtarı etkin tutun, ardından eski anahtarı JWKS'den kaldırın.

Hassas verileri (parolalar, SSN'ler, kredi kartları) asla JWT yüküne koymayın; yük base64url ile kodlanır, şifrelenmez. Şifrelenmiş alanlara ihtiyacınız varsa JWE (JSON Web Encryption) kullanın veya hassas verileri sunucu tarafında tutun.

JWT'leri yalnızca HTTPS üzerinden iletin. HTTP üzerinden ele geçirilen bir JWT, kimlik doğrulamayı tamamen atlatma imkânı verir. Çerezlerde Secure bayrağını ayarlayın. Protokolün daha düşük bir sürüme geçirilmesini önlemek için HSTS kullanın. Tam JWT dizelerini sunucu günlüklerine asla kaydetmeyin.

Bakımı düzenli yapılan kütüphaneler kullanın: PyJWT 2+, python-jose, auth0/node-jsonwebtoken 9+, Nimbus JOSE + JWT (Java). JWT doğrulamasını sıfırdan uygulamaktan kaçının. Kütüphane güvenlik açıkları için CVE veritabanlarını düzenli olarak denetleyin.

Tüm saldırı vektörlerini sınayın: alg=none belirteci, RS256→HS256 karışıklığı belirteci, süresi dolmuş belirteç, yanlış hedef kitle belirteci ve değiştirilmiş yük gönderin. Sınama belirteçleri oluşturmak için jwt.io kullanın. Bunların 401 ile reddedildiğini doğrulayan tümleştirme sınamaları ekleyin.

Yenileme belirteçleri bir web uygulamasında nerede saklanmalıdır?

Güvenli JWT kullanımı; sabitlenmiş algoritmalar, kısa erişim belirteci süresi, yenileme belirteçleri için httpOnly çerez depolaması, hedef kitle/yayımcı doğrulaması ve anahtar yenilemesi gerektirir. Sıradaki konu: kriptografik gizli paylaşım şemaları.