JSON Web Tokens (JWT): Gids voor authenticatie

Wat is JWT?

JSON Web Token (JWT) is een compact, URL-veilig formaat voor het veilig verzenden van informatie tussen verschillende partijen.

Structuur van een JWT

Een JWT bestaat uit drie delen, gescheiden door punten:

header.payload.signature

1. Header

Bevat informatie over het type token en het gebruikte algoritme (bijv. HS256).

2. Payload (Claims)

Bevat de eigenlijke gegevens, zoals de gebruikers-ID en de vervaldatum.

3. Signature

Wordt gebruikt om te controleren of het bericht onderweg niet is gewijzigd.

Implementatievoorbeelden

Node.js (jsonwebtoken)

import jwt from 'jsonwebtoken';

const GEHEIM = process.env.JWT_SECRET;

// Token aanmaken
function maakToken(gebruiker) {
  return jwt.sign(
    { sub: gebruiker.id, email: gebruiker.email },
    GEHEIM,
    { expiresIn: '1h' }
  );
}

// Token verifiëren
function verifieerToken(token) {
  try {
    return jwt.verify(token, GEHEIM);
  } catch (error) {
    return null;
  }
}

Veiligheidsmaatregelen (Best Practices)

Gebruik sterke geheime sleutels: Zorg voor een lange, willekeurige reeks tekens.

Korte houdbaarheid: Stel een korte vervaltijd in voor 'access tokens'.

Geen gevoelige data: Sla nooit wachtwoorden of andere privégegevens op in de payload, want deze is voor iedereen leesbaar.

Beveiligde opslag: Gebruik bij voorkeur HttpOnly cookies in de browser om XSS-aanvallen te voorkomen.

Algoritme forceren: Geef bij het verifiëren expliciet aan welk algoritme is toegestaan om 'None-algoritme'-aanvallen te voorkomen.

Veelgemaakte fouten

Het opslaan van te veel data in het token kan de header van HTTP-verzoeken te groot maken. Houd de payload daarom zo klein mogelijk.

Conclusie

JWT is een krachtig middel voor stateless authenticatie. Door gebruik te maken van korte vervaltijden en veilige opslagmethoden, bouwt u een robuust beveiligingssysteem voor uw webapplicaties!