Wat zijn veelgebruikte authenticatiemechanismen (sessions, JWT, OAuth)?

Question

Accepted Answer

Moderne applicaties gebruiken verschillende **authenticatiemechanismen** — op sessions gebaseerde, op tokens gebaseerde (JWT) en gedelegeerde authenticatie (OAuth/OpenID Connect). Het is belangrijk om te begrijpen hoe elk daarvan werkt en wat de voor- en nadelen zijn voor het implementeren van veilige authenticatie.

## Op sessions gebaseerde authenticatie

```text
SESSION-based (traditional):
  → user logs in → server creates a SESSION (stored server-side) → sends a session ID
    cookie → the browser sends it with each request → server looks up the session
  ✓ server controls sessions (easy to revoke); simple; cookie auto-sent
  ✗ stateful (server stores sessions); scaling needs shared session storage
```

## Op tokens gebaseerde (JWT)

```text
JWT (JSON Web Token):
  → user logs in → server issues a SIGNED token containing claims (user id, etc.) →
    client stores it → sends it (usually in an Authorization header) per request →
    server VERIFIES the SIGNATURE (no server-side lookup needed)
  ✓ STATELESS (scales easily; no session store); works well for APIs/SPAs/mobile
  ✗ hard to REVOKE before expiry (it's self-contained) → use short expiry + refresh tokens
  ⚠️ store securely; don't put secrets in the (readable) payload; validate properly
```

## OAuth 2.0 / OpenID Connect

```text
OAUTH 2.0 → DELEGATED AUTHORIZATION ("Log in with Google/GitHub"):
  → let users authenticate via a third party without sharing their password with your app
  → your app gets a token to access permitted resources (scoped)
OPENID CONNECT (on top of OAuth) → adds AUTHENTICATION (identity) → standard for SSO/
  social login
→ delegate auth to trusted providers; users don't create another password.
```

## Waarom het belangrijk is

Het begrijpen van veelgebruikte authenticatiemechanismen is belangrijk omdat **authenticatie fundamenteel is voor de meeste applicaties**, en het correct kiezen en implementeren ervan van invloed is op beveiliging en architectuur, dus het is waardevolle kennis.

De belangrijkste mechanismen hebben elk verschillende karakteristieken en voor- en nadelen. **Op sessions gebaseerde authenticatie** (server-side sessies met een session-ID cookie) geeft de server controle over sessies (gemakkelijke intrekking) maar is stateful (vereist gedeelde sessieopslag voor schaling). **JWT (op tokens gebaseerde) authenticatie** (ondertekende zelfstandige tokens geverifieerd zonder server lookup) is **stateless** (schaalbaar, werkt goed voor API's, SPA's en mobiel) maar heeft het nadeel dat **tokens moeilijk in te trekken zijn voor expiratie** (omdat ze zelfstandig zijn, vereist korte expiratie plus refresh tokens) en moeten veilig worden opgeslagen zonder geheimen in de leesbare payload — het begrijpen van deze JWT-overwegingen is belangrijk omdat JWT's veelgebruikt zijn maar vaak verkeerd gebruikt. **OAuth 2.0 en OpenID Connect** (gedelegeerde authenticatie — "Inloggen met Google/GitHub") laten gebruikers zich verifiëren via vertrouwde derde partijen zonder wachtwoorden met uw app te delen, de standaard voor SSO en sociale login.

Het begrijpen van deze mechanismen, hoe ze werken en hun **voor- en nadelen** (session statefulness en gemakkelijke intrekking versus JWT statelessness en moeilijke intrekking; OAuth voor gedelegeerde authenticatie) is belangrijk voor het kiezen van de juiste aanpak (sessions voor traditionele web-apps met servercontrole, JWT voor stateless API's, OAuth voor gedelegeerde/sociale login) en het veilig implementeren ervan.

Authenticatie is fundamenteel, en het goed doen (correct mechanisme, veilige implementatie) is kritisch voor beveiliging.

Omdat authenticatie fundamenteel is voor de meeste applicaties en de mechanismen (sessions, JWT, OAuth) belangrijke verschillen en voor- en nadelen hebben die van invloed zijn op beveiliging en architectuur, en omdat het begrijpen ervan noodzakelijk is voor het correct implementeren van authenticatie, is het begrijpen van veelgebruikte authenticatiemechanismen waardevolle, praktisch relevante beveiligingskennis — belangrijk voor de fundamentele behoefte aan authenticatie, het mogelijk maken van doordachte keuzes tussen sessions, JWT en OAuth en hun veilige implementatie, een belangrijk onderwerp voor het bouwen van veilige applicaties met goede authenticatie.