Cluster C6: Kodierung und Hashing
JWT-Sicherheit: Best Practices für den Umgang mit Tokens
JWT-Probleme entstehen selten in der Theorie, sondern durch unvollständige Validierung, schwache Schlüsselrotation und unsichere Speicherung.
Jede geschützte Anfrage vollständig validieren
Signatur, Issuer, Audience, Ablaufzeit und erforderliche Claims müssen bei jedem Request konsistent geprüft werden.
Sobald Gateway, Backend und Edge unterschiedliche Prüfpfade haben, entstehen leicht Sicherheitslücken und Inkonsistenzen.
Lebenszyklus kontrolliert gestalten
- Kurze Access-Token-Laufzeiten für risikoreiche Aktionen.
- Schlüsselrotation, Refresh-Revocation und Audit-Logs fest einplanen.
- Speicherorte nach Threat Model wählen, nicht nach Bequemlichkeit.
Praktisches Ein-/Ausgabe-Beispiel
Eingabe
JWT vom API-Gateway Ziel: vor dem Routen-Zugriff prüfen
Ausgabe
Signatur + Claims validiert Audit-Log schreiben und freigeben oder ablehnen