Chyby zabezpečení JWT v roce 2026: Praktické opravy pro produkční rozhraní API

JWT je výkonný pro ověřování API, ale mnoho produkčních incidentů pochází z implementačních chyb, nikoli ze samotného JWT. Pokud vaše aplikace používá přístupové tokeny, obnovovací tokeny a nároky na role, vaše zabezpečení závisí na podrobnostech.

1) Přijetí jakéhokoli algoritmu

Nikdy nedůvěřujte algoritmu zaslanému pouze hlavičkou tokenu. Váš server musí vynutit explicitní seznam povolených (například pouze RS256).

• Připnout očekávané algoritmy na straně serveru.
• Odmítnout tokeny s chybějícími nebo neočekávanými alg.
• Používejte vyspělé, aktivně udržované knihovny JWT.

2) Přístupové tokeny s dlouhou životností

Pokud přístupový token unikne a zůstane platný několik dní, má útočník příliš mnoho času. Udržujte přístupové tokeny krátkodobé a spolehněte se na tok obnovy.

• Přístupový token: krátký TTL (5–15 minut).
• Obnovit token: delší TTL + rotace + odvolání.
• Zneplatnit relace podezřelé aktivity.

3) Únik tokenů v adresách URL a protokolech

Nikdy nevkládejte JWT do parametrů dotazu. Adresy URL končí v protokolech, analýzách, historii prohlížeče a referrerech.

• Odeslat tokeny v Oprávnění: Doručitel ... záhlaví.
• Vyčistěte hlavičky ověření z protokolů a trasování APM.
• Maskujte citlivá pole v hlášení chyb klienta.

4) Slabé ověření nároku

Ověřit iss, aud, exp, nbf a iat. Ověřte také obchodní omezení, jako je ID tenanta a požadované role.

• Odmítnout tokeny, jejichž platnost vypršela nebo ještě nejsou platné.
• Vázejte očekávané publikum na službu.
• Nedůvěřujte nárokům rolí bez kontrol na straně serveru.

5) Žádná strategie střídání klíčů

Únik klíčů, vyprší platnost certifikátů a dochází k incidentům. Naplánujte rotaci před spuštěním výroby.

• Použijte kid záhlaví a koncové body JWKS.
• Podpora překrývajících se kláves během rotace oken.
• Monitorujte selhání ověření podpisu pro anomálie.

Praktický kontrolní seznam kalení

1. Vynutit přísný seznam povolených algoritmů.
2. Používejte přístupové tokeny s krátkou životností.
3. Otočte obnovovací tokeny a podporujte odvolání.
4. Uchovávejte tokeny bezpečně (preferujte pouze soubory cookie http).
5. Ověřte všechna standardní a obchodní kritická tvrzení.
6. Implementujte rotaci klíčů s monitorováním.

Související nástroje

• JWT Decoder – bezpečně zkontrolujte záhlaví a užitečné zatížení.
• Hash Generator — ověřte otisky zpráv a souborů.
• Generátor hesel – vytvořte silná tajemství pro účty administrátorů a služeb.