JWT

Significa "JSON Web Token".

Un JWT es un token estándar del sector que comparte información de seguridad entre dos partes. Los JWT son compactos y seguros para URL, lo que permite que los servidores web y los clientes los intercambien como parte de una solicitud HTTPS. El uso más común de un JWT es autenticar a un usuario que inició sesión en un sitio web o una aplicación web, a menudo mediante un servicio de inicio de sesión único (SSO).

Los JWT constan de tres partes:

• El encabezado incluye información sobre el tipo de token y el algoritmo utilizado para generar la firma.
• La carga útil incluye la lista de afirmaciones realizadas por el token. Estas afirmaciones normalmente incluyen información sobre el emisor del token, el sitio web o la aplicación web que usa el token y el usuario. También incluyen la hora en que se emitió el token y cuándo caducará ambas expresadas mediante (tiempo Unix). Además de estos valores comunes, un JWT puede incluir afirmaciones arbitrarias exclusivas del sitio web o la aplicación web que emite el token.
• La firma verifica que el token no haya sido manipulado desde su emisión.

Los sitios web y las aplicaciones web suelen usar JWT como método sin estado para autenticar a un usuario. No requieren que el servidor mantenga una sesión en su memoria o base de datos, lo que reduce la carga necesaria para cada usuario. En su lugar, el cliente y el servidor intercambian el JWT con cada solicitud HTTPS y verifican la firma para asegurarse de que el token no haya sido alterado. Cuando el JWT caduca, el usuario debe iniciar sesión nuevamente para que se emita uno nuevo.

Creación de un JWT

Tanto el encabezado como la carga útil de un JWT constan de texto escrito en JSON. El encabezado y la carga útil se codifican por separado mediante un algoritmo llamado base64, que convierte varias líneas de texto en una sola cadena. Las cadenas del encabezado y la carga útil codificadas se combinan y se separan mediante un carácter '.'.

La cadena combinada, que contiene el encabezado y la carga útil codificados, se codifica una vez más mediante un algoritmo hash y una clave secreta para crear la firma. Luego, la firma se agrega al final del encabezado y la carga útil, separada por otro carácter '.', para crear el JWT final.