Um JSON Web Token (JWT) é um token compacto, seguro para URL e autocontido que carrega claims sobre um usuário. O servidor o assina uma vez; depois disso, ele pode verificar o token a cada requisição sem consultar o banco de dados — é isso que torna a autenticação baseada em JWT stateless (sem estado).
Um JWT é , três segmentos codificados em base64url unidos por pontos:
header.payload.signatureeyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 ← header
.eyJzdWIiOiIxMjMiLCJleHAiOjE3MDB9 ← payload (claims)
.dBjftJeZ4CVP-mB92K27uhbUJU1p1r_wW1 ← signature
{ "alg": "HS256", "typ": "JWT" }.sub (subject/id do usuário), exp (expiração), iat (emitido em), iss (emissor), além de quaisquer campos personalizados (role, email).O payload é codificado, não criptografado. Qualquer um pode decodificá-lo de base64 e lê-lo, então nunca coloque senhas ou segredos em um JWT.
signature = HMAC-SHA256(
base64url(header) + "." + base64url(payload),
secret
)
A cada requisição, o servidor recalcula a assinatura sobre o header+payload recebidos e a compara. Se coincidirem e exp estiver no futuro, o token é confiável — nenhum armazenamento de sessão é necessário.
const jwt = require("jsonwebtoken");
const token = jwt.sign({ sub: "123", role: "admin" }, SECRET, {
expiresIn: "15m",
});
try {
const claims = jwt.verify(token, SECRET); // lança erro se adulterado ou expirado
// claims.sub === "123"
} catch (e) {
// rejeita: inválido ou expirado
}
Como a verificação é stateless, você não pode invalidar um token antes de ele expirar apenas "deletando-o" no lado do servidor. Mitigações comuns:
jti) para logout/comprometimento — isso reintroduz um pouco de estado.| Armazenamento | Prós | Contras |
|---|---|---|
Cookie httpOnly | Não legível pelo JS (mais seguro contra XSS) | Precisa de proteção contra CSRF |
localStorage | Simples, sem CSRF | Exposto a XSS |
JWTs viabilizam a autenticação stateless em APIs, microsserviços e SPAs — um serviço pode confiar em uma requisição verificando apenas uma assinatura, sem um armazenamento de sessão compartilhado. Mas essa mesma ausência de estado é a clássica armadilha de entrevista: tokens não podem ser revogados facilmente, o payload é legível, e a confusão de alg ou a falta de verificação de expiração são vulnerabilidades reais. Saber exatamente o que a assinatura protege, e o que não protege, é essencial para usar JWTs com segurança.
Uma biblioteca de perguntas de entrevista de TI com respostas detalhadas — de Júnior a Sênior.
Doar