Autenticação e Autorização: Você está implementando autenticação baseada em JSON Web Tokens (JWT) em uma API. O token é assinado com o algoritmo HS256 (HMAC-SHA256). Qual das opções a seguir representa uma boa prática de segurança ao lidar com JWT?
Você está implementando autenticação baseada em JSON Web Tokens (JWT) em uma API. O token é assinado com o algoritmo HS256 (HMAC-SHA256). Qual das opções a seguir representa uma boa prática de segurança ao lidar com JWT?
Confiar no payload do JWT sem validar a assinatura, desde que o token tenha sido emitido pela própria API.
Armazenar a chave secreta HMAC diretamente no repositório de código para facilitar o ciclo de deploy.
Aceitar tokens cujo cabeçalho declare "alg": "none", desde que o client seja confiável.
Definir um tempo de expiração curto (exp) e rejeitar tokens expirados durante a validação.
Incluir senhas e outros dados sensíveis no payload, pois o JWT é criptografado por padrão.
Desbloqueie explicações detalhadas
Assine o plano Premium e tenha acesso a explicações completas e análises aprofundadas de cada questão.