JWTstandardien

JWT-standardene refererer til en samling IETF-spesifikasjoner som beskriver JSON Web Token og tilhørende mekanismer for signering, kryptering og nøkkelutveksling. JWT står for JSON Web Token og er et kompakt, URL-vennlig token som inneholder påstander (claims) som et JSON-objekt. Tokenet kan signeres for integritetskontroll og kan krypres for konfidensialitet.

Familien inkluderer RFC 7519 som definerer selve JWT, RFC 7515 for JSON Web Signature (JWS), RFC 7516 for JSON Web Encryption (JWE), RFC 7517 for JSON Web Key (JWK og RFC 7518 for JSON Web Algorithms (JWA). Disse dokumentene gir detaljerte krav til struktur, algoritmer og nøkkelutveksling, samt hvordan man kombinerer signering, kryptering og nøkkelstyring.

JWT brukes bredt i autentisering og tilgangskontroll, og inngår i OpenID Connect og OAuth 2.0 som bærer av tilgangs- og ID-tokens. En signert JWT kan verifiseres av mottaker ved hjelp av offentlige eller delte nøkler, og en kryptert JWT beskytter innholdet under overføring. For at tokens skal være sikre bør man verifisere signaturen, kontrollere påstandene iss (utsteder), aud (målgruppe), exp (utløp) og andre relevante krav, og begrense hvilke algoritmer som aksepteres.

JWT-standardene er frivillige, men har bred støtte i kryptobiblioteker og API-rammeverk. De muliggjør statsløse autentiseringsstrømmer og effektiv utveksling av identitetsopplysninger når riktig sikkerhetspraksis følges.