Wat is JWT?

JWT (JSON Web Token) is een zelfgedragen, stateloze token die informatie draagt in een gestructureerd en leesbaar formaat. Of je nu een API beveiligt of token-gebaseerde authenticatie voor je applicatie aanneemt, JWTs zijn een krachtig hulpmiddel, omdat ze:

• Stateloos: JWTs zijn zelfgedragen en vereisen geen serverside status om te valideren. JWT kan gegevensintegriteit garanderen via handtekeningen.
• Cross-service compatibiliteit: JWTs kunnen gemakkelijk gedeeld en geverifieerd worden tussen verschillende diensten.
• Uitschuifbaar: De payload van een JWT kan aangepaste claims bevatten, waardoor flexibele autorisaties en het delen van informatie mogelijk zijn.

De structuur van JWT

Een typische JWT is opgesplitst in drie delen, elk gecodeerd in Base64URL en gescheiden door punten (.):

• Header - Bevat metadata, zoals het ondertekeningsalgoritme (bijv. HS256 of RS256) en het type token (JWT).
• Payload - Bevat de daadwerkelijke gegevens, zoals gebruikers-ID, gebruikersprofiel, vervaltijd of scopes.
• Handtekening - Een gehashte combinatie van de header, payload en beveiligd met een geheime sleutel. Het doel is om de integriteit van het token te waarborgen en te bevestigen dat het niet is gewijzigd.

Deze structuur stelt JWTs in staat om een compacte, veilige manier van het overbrengen van informatie tussen partijen te bieden.

Veelvoorkomende token-aanvragen in JWT

De claims maken deel uit van de payload en bevatten de belangrijkste informatie. Hier zijn gestandaardiseerde geregistreerde claims voor je referentie:

Afhankelijk van de specificatie en de configuratie van de autorisatieserver kunnen aanvullende claims worden opgenomen in de payload om specifieke use-cases te ondersteunen. Je kunt ook aangepaste claims toevoegen aan JWT om aan unieke zakelijke eisen te voldoen.

Wanneer gebruik je JWT?

JWTs kunnen bijzonder voordelig zijn in de volgende scenario’s:

1. Microservices architectuur: Voor stateloze authenticatie over meerdere services heen.
2. Single sign-on (SSO) systemen: Toegang tot meerdere applicaties met één authenticatie mogelijk maken.
3. Mobiele applicaties: Efficiënt bijhouden van gebruikerssessies over API-oproepen.
4. Hoog-verkeer applicaties: Verminderen van de databasebelasting in omgevingen met hoog volume.
5. Cross-origin resource sharing (CORS): Eenvoudiger authentiseren over meerdere domeinen.
6. Serverloze architecturen: Zorg voor stateloze authenticatie waar serversessies moeilijk zijn.