security - jsonwebtoken - jwt java

¿Es seguro poner un jwt en la url como parámetro de consulta de una solicitud GET?

Question

¿Es seguro poner un jwt (token web json) en la url como parámetro de consulta de una solicitud GET?

Answer 1

Puede ser seguro en las siguientes circunstancias:

1. el JWT es solo para uso por única vez
2. los jti y exp están presentes en el token
3. el receptor implementa adecuadamente la protección de repetición usando jti y exp

pero en caso de que se use como un token que se puede usar repetidamente, por ejemplo, contra una API, es menos preferible suministrarlo como un parámetro de consulta, ya que puede terminar en registros e información de proceso del sistema, disponible para otros que tienen acceso al servidor o sistema cliente En ese caso, sería mejor presentarlo como parte de un encabezado o un parámetro POST.

Además de eso, al usarlo en los parámetros de consulta, puede ejecutar limitaciones de tamaño de URL en navegadores o servidores; usarlo en un encabezado proporciona más espacio, usarlo como un parámetro POST funcionaría mejor.