Introdução
Este artigo sintetiza uma conversa técnica sobre JWT (JSON Web Token), destacando equívocos comuns, boas práticas de segurança e a diferença essencial entre JWT e criptografia. O texto aborda por que o JWT não é criptografia por si só, como evitar expor dados sensíveis e quando vale a pena considerar o JWE para criptografia ponta a ponta.
Resumo
Muitos desenvolvedores tropeçam no entendimento básico do JWT: o token é construído com header, payload e assinatura, e nem o payload nem o header são criptografados por padrão — eles costumam ser apenas codificados em Base64, o que facilita a leitura de dados no lado do cliente. Por isso, o vídeo enfatiza que a “fonte da verdade” deve ficar no servidor; validações e decisões de negócio devem ocorrer no back-end, não no front-end, para evitar que o usuário manipule informações sensíveis. Também é discutida a prática comum de buscar tutoriais na web que ensinam a gerar JWTs sem considerar segurança, além de críticas a abordagens de arquitetura que adicionam complexidade desnecessária (por exemplo, uso excessivo de Mediator) sem ganho real de valor. O diálogo ainda aborda como a Microsoft adota padrões de segurança por padrão em seus produtos e o papel da LGPD (proteção de dados) ao trafegar informações em tokens, ressaltando a importância de minimizar dados sensíveis dentro do token. O trecho conclui apresentando o JWT como assinatura digital (não criptografia) e introduz o JWE como alternativa quando há necessidade de criptografia de ponta a ponta.
Opinião e Análise
Sem opiniões explícitas no vídeo.
Insights e Pontos Fortes
- JWT não equivale a criptografia: payload costuma ser legível; a assinatura garante integridade, não confidencialidade. - Evite colocar dados sensíveis no JWT; trate o servidor como a fonte da verdade e aplique validações no back-end. - Quando necessário criptografar dados sensíveis, prefira JWE (criptografia) em vez de depender apenas do JWT (assinatura). - Em cenários de validação de tokens com múltimos emissores, utilize bibliotecas confiáveis (ex.: Jose) para garantir a verificação correta da assinatura. - Siga boas práticas de OWASP (Top 10) e referências como “Entendendo JWT” e conteúdos de segurança para evitar falhas comuns e entender o papel de cada protocolo (JWT vs JWE, HTTPS, LGPD).