JSON Web Tokens (JWT)
Struktur, Signatur und typische Risiken. · ~11 Min.
Fortschritt in diesem Track0%
Aufbau
Ein JWT besteht aus drei Base64URL-Teilen: Header (Algorithmus), Payload (Claims), Signature.
Format: header.payload.signature
Der Payload ist nur codiert, nicht verschlüsselt — jeder kann ihn lesen!
Sicherheit
- Signatur mit starkem Secret (HS256) oder asymmetrisch (RS256, ES256).
- alg=none und SchlĂĽsselverwechslung (HS vs. RS) sind klassische Schwachstellen.
- Kurze Laufzeit (exp), Refresh-Tokens getrennt speichern.
Nutze das CryptoLab JWT-Tool zum Dekodieren — nie Produktions-Secrets in öffentliche Tools eingeben.
Wann JWT?
Gut fĂĽr stateless APIs zwischen Diensten. Schlecht als Session-Ersatz in Cookies ohne harte SchutzmaĂźnahmen (HttpOnly, Secure, SameSite). Oft sind Server-Sessions einfacher sicher.