Wat is JWT? - Uitleg & Betekenis

Definitie

JWT (JSON Web Token) is een open standaard (RFC 7519) voor het veilig overdragen van informatie tussen partijen als een compact, URL-veilig JSON-object. JWT's worden breed ingezet voor stateless authenticatie en autorisatie in moderne webapplicaties en API's.

Technische uitleg

Een JWT bestaat uit drie delen, gescheiden door punten: header, payload en signature. De header bevat het tokentype en het gebruikte ondertekeningsalgoritme (zoals HS256 of RS256). De payload bevat claims, zowel geregistreerde (iss, exp, sub) als aangepaste, die informatie over de gebruiker en rechten bevatten. De signature wordt berekend door header en payload te combineren met een geheim (HMAC) of een privésleutel (RSA/ECDSA). Bij stateless authenticatie hoeft de server geen sessiedata op te slaan: alle benodigde informatie zit in het token zelf. Access tokens hebben een korte levensduur (minuten) terwijl refresh tokens langer geldig zijn voor het verkrijgen van nieuwe access tokens. JWT's zijn ideaal voor microservice-architecturen omdat elke service het token onafhankelijk kan valideren zonder een centrale sessiestore. Belangrijke beveiligingsoverwegingen zijn: tokens altijd via HTTPS versturen, korte expiratie-tijden instellen, gevoelige data niet in de payload opnemen en tokens veilig opslaan (httpOnly cookies boven localStorage).

Hoe MG Software dit toepast

MG Software gebruikt JWT als standaard authenticatiemechanisme in onze API's en webapplicaties. We implementeren een access/refresh token-strategie met korte levensduur voor access tokens en veilige httpOnly cookies voor refresh tokens. In onze Supabase-integraties verwerken we JWT's voor Row Level Security. Voor microservice-architecturen gebruiken we JWT's om verzoeken tussen services te authenticeren zonder een gedeelde sessiestore.

Praktische voorbeelden

• Een webapplicatie die na inloggen een JWT access token retourneert met een geldigheidsduur van 15 minuten, waarna een refresh token automatisch een nieuw access token aanvraagt zonder dat de gebruiker opnieuw hoeft in te loggen.
• Een microservice-architectuur waarbij elke service inkomende JWT-tokens valideert tegen de publieke sleutel van de authenticatieservice, zonder een gedeelde database te raadplegen.
• Een mobiele app die JWT-tokens opslaat in de secure storage van het besturingssysteem en bij elk API-verzoek meestuurt in de Authorization-header.

Gerelateerde begrippen