Firma non verificata. I dati decodificati non sono attendibili.
Un JWT (JSON Web Token) è un formato di token compatto usato per l'autenticazione. Ha tre parti codificate in Base64URL separate da punti: l'header (algoritmo e tipo), il payload (claims come ID utente e scadenza) e la firma (prova crittografica che il token non è stato manomesso).
L’elaborazione avviene nel browser. Salvataggio e condivisione sono facoltativi, richiedono un account e inviano il contenuto scelto al nostro servizio.
HS256 usa una chiave segreta condivisa (simmetrica) — sia il creatore che il verificatore hanno bisogno dello stesso segreto. RS256 usa una coppia di chiavi pubblica/privata (asimmetrica) — il creatore firma con una chiave privata e chiunque può verificare con la chiave pubblica. Usa RS256 per le API pubbliche.
Il valore numerico exp viene confrontato con l’ora attuale. La scadenza non verificata non prova l’autenticità del token. La sola decodifica non verifica la firma.
Firma con HMAC HS256, HS384 e HS512; la decodifica non verifica le firme.
I payload JWT sono codificati in Base64, non cifrati — chiunque abbia il token può decodificare e leggere il contenuto. Archivia solo identificatori non sensibili (ID utente, ruoli, scadenza) nei JWT. Mantieni i dati sensibili lato server e riferiscili per ID.