9

Em muitos tutoriais (em sua maioria de Single Page Applications), o método de autenticação mais comum é o JWT token.

O problema é que a maioria deles recomendam persistir esse token no localStorage do navegador. Prática essa que muitos afirmam ser insegura.

Isso me faz questionar:

  1. Por que armazenar o token JWT na API localStorage é considerado inseguro?
  2. Se o localStorage é inseguro, qual é a melhor forma de armazenar estes tokens?
  3. Quais são as alternativas para o armazenamento do JWT token?

3 Respostas 3

7
  1. O localStorage do navegador (ou armazenamento de sessão) não é seguro. Qualquer dado armazenado pode estar vulnerável a scripts entre sites. Se um invasor roubar um token, ele poderá acessar e fazer solicitações à sua API.

  2. Se o aplicativo tiver um servidor de backend, os tokens devem ser manipulados no lado do servidor usando o fluxo de login da aplicacao Web( por exemplo: em um servico no backend feito em NodeJS, a validacao do token e feita atraves de um middleware que proteje uma rota caso o token seja invalido ).

  3. Alternativa: cookies. Você também pode usar cookies para armazenar o JWT. A maneira exata de definir um cookie depende da linguagem que você está usando.

Um pouco mais sobre Cookies

Existem diferentes opções para controlar o tempo de vida de um cookie:

  • Os cookies podem ser destruídos depois que o navegador é fechado (cookies de sessão).

  • Implemente uma verificação do lado do servidor (geralmente feita por você pela estrutura da linguagem Web em uso) e você poderá implementar a expiração ou a expiração da janela (navegador ao ser fechado).

  • Os cookies podem ser persistentes (não destruídos após o navegador ser fechado) com uma data de expiração.

Os cookies podem ser lidos pelo código do lado do servidor e do JavaScript ou apenas pelo lado do servidor se o sinalizador httpOnly estiver definido.

Você pode definir o sinalizador secure = true para que os cookies só possam ser definidos em uma conexão criptografada.


ATENÇÃO

Desvantagens dos cookies:

O tamanho máximo de um cookie é de apenas 4kb, o que pode ser problemático se você tiver muitas declarações anexadas ao token.

Os cookies podem ser vulneráveis a ataques de falsificação de solicitações entre sites (CSRF ou XSRF). O uso da proteção CSRF de uma estrutura de aplicacao Web torna os cookies uma opção segura para armazenar um JWT.

O CSRF também pode ser parcialmente impedido, verificando o cabeçalho HTTP Referer e Origin. Você também pode definir o sinalizador de cookie restrito SameSite = Strict(saiba mais), onde com esta politica, os cookies nao podem ser enviados para sites de terceiros, o que ajuda a evitar ataques de CSRF.

Pode ser difícil de implementar se o aplicativo exigir acesso entre domínios. Os cookies têm propriedades adicionais (Domínio / Caminho) que podem ser modificadas para permitir que você especifique onde o cookie pode ser enviado.


Referências

-1

Manter o JWT no localstorage é comum, é bom apenas ficar atento ao conteúdo que é salvo no token. Normalmente salvamos o objeto do cliente logado, porém é bom ficar atento com os dados sensíveis do mesmo, eles não precisam estar presentes no JWT, também validar sempre no lado do servidor pra identificar que aquele JWT ainda é valido.

-3

Normalmente é armazenado no localstorage mesmo. É inseguro apenas se alguma pessoa ver o token na sua maquina na hora que voce logar na aplicação.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .