Validasi JSON Web Token (JWT) yang aman memerlukan pemeriksaan kriptografi pada tanda tangan (signature), validasi klaim standar seperti exp (expiration) dan nbf (not before), serta pencocokan issuer dan audience untuk mencegah kerentanan autentikasi pada arsitektur berbasis stateless.
Langkah Kritis Validasi JWT
Proses validasi tidak cukup hanya dengan mendecode bagian payload token. Sistem backend wajib mengeksekusi urutan verifikasi ketat guna memastikan token tidak kedaluwarsa, tidak dimodifikasi di tengah jalan, dan diterbitkan olehotoritas yang sah.
| Komponen Validasi | Parameter Pemeriksaan | Risiko Jika Diabaikan |
|---|---|---|
| Signature Verification | Kecocokan kunci HMAC (HS256) atau Public Key (RS256) | Token pemalsuan (Forged Token) & Privilege Escalation |
| Expiration (exp) | Waktu saat ini < Nilai klaim exp |
Penggunaan token kedaluwarsa (Replay attack window lebar) |
| Issuer (iss) & Audience (aud) | Kecocokan domain penerbit dan penerima layanan | Cross-site token leakage & penyalahgunaan layanan pihak ketiga |
| Algorithm Restrictions | Whitelist algoritma (tolak alg: "none") | Algoritma downgrade attack (serangan eksploitasi header) |
Contoh Implementasi Kode Validasi (Node.js)
Berikut adalah cuplikan kode menggunakan pustaka resmi jsonwebtoken untuk memvalidasi token dengan kunci publik RSA:
const jwt = require('jsonwebtoken');
const fs = require('fs');
const publicKey = fs.readFileSync('public.pem', 'utf8');
function verifyToken(token) {
try {
const options = {
algorithms: ['RS256'],
issuer: 'https://auth.example.com',
audience: 'https://api.example.com'
};
const decoded = jwt.verify(token, publicKey, options);
return { valid: true, data: decoded };
} catch (err) {
return { valid: false, error: err.message };
}
}Praktik Keamanan Lapangan
Hindari penggunaan algoritma none yang sering menjadi celah eksploitasi pada pustaka lama. Pastikan selalu mendefinisikan array algoritma secara eksplisit pada opsi verifikasi. Selain itu, simpan token pada memori lokal aplikasi klien (seperti memory state atau httpOnly cookie yang aman dari XSS) alih-alih menyimpannya di localStorage yang rentan terhadap pencurian skrip lintas situs.