JWT Token: O Guia Completo para Autenticação e Segurança em APIs

JWT token é uma das formas mais populares de autenticação em aplicações web modernas. Ele é amplamente utilizado em APIs, aplicativos móveis e serviços com arquitetura de microsserviços, pois permite a autorização sem a necessidade de armazenar sessões no servidor.

No passado, era necessário que o servidor mantivesse uma sessão para cada usuário, mas com o JWT tudo funciona de forma diferente: todas as informações necessárias são transmitidas junto com cada requisição. Isso torna o sistema mais rápido, fácil de escalar e mais prático para serviços distribuídos.

Neste artigo, vamos explicar o que é um JWT token, como funciona, sua estrutura e as principais diferenças em relação às sessões tradicionais.

O que é um JWT token de forma simples

JWT token é uma sequência especial de caracteres que armazena informações sobre o usuário e serve para identificá-lo sem precisar guardar dados no servidor. A sigla JWT significa JSON Web Token.

Em termos simples, é como um "passe digital" que você recebe ao fazer login. Em vez de consultar o banco de dados a cada requisição, o servidor apenas verifica o token e entende quem você é e quais permissões possui.

O JWT é bastante utilizado em aplicações web modernas, aplicativos móveis e APIs. Exemplos de uso:

• ao fazer login em um site
• autenticação via aplicativos
• integração com REST APIs

A principal ideia do JWT é que todos os dados ficam dentro do próprio token, não no servidor. Isso facilita o escalonamento e agiliza o sistema.

Um token normalmente se parece com uma sequência longa separada por pontos, por exemplo:

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Apesar de parecer um conjunto aleatório de caracteres, ele contém:

• informações do usuário (ID, papel)
• período de validade
• assinatura que protege os dados contra falsificação

Importante: o JWT não criptografa os dados, apenas os codifica. Assim, o conteúdo pode ser lido, mas não modificado sem invalidar a assinatura.

JWT tornou-se popular porque permite implementar autenticação sem sessões, dispensando o armazenamento de estado do usuário no servidor - todas as informações já estão no token.

Como funciona o JWT token

O funcionamento do JWT token se baseia numa ideia simples: o servidor emite o token uma vez e, a partir daí, apenas o valida a cada requisição, sem guardar o estado do usuário.

Vamos ao passo a passo:

1. O usuário envia login e senha. O servidor verifica os dados, geralmente consultando um banco.
2. Se estiver tudo certo, o servidor cria um JWT token contendo:
   • ID do usuário
   • papel (user ou admin, por exemplo)
   • tempo de expiração
3. O token é enviado para o cliente (navegador ou aplicativo).
4. O token pode ser armazenado em:
   • localStorage
   • sessionStorage
   • cookie (geralmente com flag HttpOnly para segurança)
5. Nas próximas requisições, o token é enviado (normalmente no header):
   Authorization: Bearer <token>
6. O servidor, ao receber:
   1. Extrai o token
   2. Verifica a assinatura
   3. Checa o prazo de validade
   4. Lê os dados do payload
   Se tudo estiver correto, o usuário é autorizado e a requisição é processada.

O servidor não armazena informações do usuário entre as requisições, pois tudo o que precisa já está no token. Por isso, o JWT é chamado de abordagem stateless (sem estado).

Esse mecanismo é ideal para:

• APIs
• microsserviços
• arquiteturas distribuídas

O JWT também costuma ser usado em conjunto com OAuth - saiba mais no artigo Como funciona o OAuth 2.0: autenticação sem senha e segurança dos seus dados.

Estrutura de um JWT token

O JWT token é formado por três partes separadas por pontos:

header.payload.signature

Cada parte é codificada em Base64, então, embora pareça uma string aleatória, possui uma estrutura legível.

1. Header (cabeçalho)

Contém informações sobre o tipo do token e o algoritmo de assinatura.

{
  "alg": "HS256",
  "typ": "JWT"
}

• alg - algoritmo de assinatura (exemplo: HMAC SHA-256)
• typ - tipo do token

2. Payload (corpo)

A principal seção do token, onde ficam os dados.

{
  "userId": 123,
  "role": "admin",
  "exp": 1712345678
}

O payload pode conter:

• informações do usuário
• permissões de acesso
• expiração (exp)
• data de criação (iat)

Atenção: o payload não é criptografado, apenas codificado. Qualquer um pode lê-lo.

3. Signature (assinatura)

A parte mais importante, que protege o token de falsificações. Ela é gerada a partir do:

• header
• payload
• chave secreta (no servidor)

Se alguém tentar modificar os dados do token, a assinatura não vai bater, e o servidor rejeitará a requisição.

No fim, o JWT é mais do que uma simples string - é um container autossuficiente com dados e proteção. O servidor não precisa consultar o banco para saber quem é o usuário, pois todas as informações já estão no token.

JWT: Autenticação e Autorização - qual a diferença?

Ao usar JWT, é comum confundir dois conceitos: autenticação e autorização. Eles se complementam, mas têm funções distintas.

Autenticação

É o processo de confirmar a identidade do usuário. Ou seja, o sistema responde: "quem é você?".

Exemplo:

• usuário digita login e senha
• servidor verifica os dados
• se estiver tudo certo, o usuário é autenticado

É nesse momento que normalmente o JWT token é criado.

Autorização

Vem depois: o sistema responde "o que você pode fazer?".

• usuário comum pode visualizar dados
• administrador pode alterar informações

Essas permissões são armazenadas no JWT, geralmente no payload (campo role, por exemplo).

Como o JWT participa desses processos?

1. O usuário faz login (autenticação)
2. O servidor emite o JWT token
3. No token já estão as permissões de acesso
4. A cada requisição, o servidor faz a autorização lendo o token

Ou seja, o JWT une os dois processos: confirma a identidade e guarda as permissões.

Importante: o JWT em si não faz autenticação, apenas armazena o resultado da verificação feita previamente.

JWT vs Sessões - quais as diferenças?

Para entender a vantagem do JWT, é essencial comparar com o modelo clássico de sessões.

Como funcionam as sessões

Após o login:

• o servidor cria um registro na memória ou banco de dados
• associa um session ID ao usuário
• envia esse ID em um cookie

A cada requisição:

• o navegador envia o session ID
• o servidor busca os dados no armazenamento
• identifica o usuário

Ou seja, o servidor mantém o estado do usuário.

Como funciona o JWT

No lugar do armazenamento no servidor:

• o servidor cria um token com as informações
• envia para o cliente
• o cliente armazena o token
• em cada requisição, envia o token de volta

O servidor apenas valida o token, sem buscar dados no banco.

Diferenciais principais

1. Armazenamento de dados
   • Sessões: no servidor
   • JWT: dentro do token
2. Escalabilidade
   • Sessões: mais complexo (requer armazenamento centralizado)
   • JWT: mais simples (servidores independentes)
3. Performance
   • Sessões: acesso ao banco/memória a cada requisição
   • JWT: apenas valida a assinatura
4. Segurança
   • Sessões: podem ser revogadas rapidamente
   • JWT: revogação mais complexa após emissão

Quando usar JWT

• APIs e microsserviços
• aplicativos móveis
• sistemas distribuídos
• autorização via serviços externos

Quando preferir sessões

• sites simples
• renderização server-side (SSR)
• quando é preciso controle rigoroso da sessão
• quando é importante revogar o acesso rapidamente

Resumo: o JWT é indicado para flexibilidade e escalabilidade, enquanto sessões oferecem mais controle e simplicidade de gestão.

Access Token e Refresh Token - como funciona a combinação

Na prática, o JWT raramente é usado sozinho. O padrão mais seguro envolve dois tokens: access token e refresh token, equilibrando segurança e usabilidade.

Access token

É o token principal, utilizado em cada requisição. Características:

• vida curta (por exemplo, 5-30 minutos)
• enviado em todas as requisições
• contém dados do usuário

Se for roubado, o invasor só terá acesso por pouco tempo.

Refresh token

Token auxiliar, usado para renovar o access token. Características:

• duração longa (dias ou semanas)
• não é usado em requisições normais
• armazenado de forma mais segura (geralmente em cookie HttpOnly)

Como funciona a combinação

1. O usuário faz login
2. O servidor retorna:
   • access token
   • refresh token
3. O usuário faz requisições usando o access token
4. Quando o access token expira:
   • o cliente envia o refresh token ao servidor
   • o servidor valida
   • emite um novo access token
5. O usuário continua sem precisar fazer login novamente

Por que não usar apenas um JWT?

• Se o token for de longa duração:
  • é conveniente, mas arriscado em caso de vazamento
• Se for curto:
  • é seguro, mas pode ser inconveniente (logout frequente)

O uso combinado resolve o problema: access token para segurança e refresh token para praticidade.

Dica de segurança

O refresh token deve ser armazenado em cookie com flag HttpOnly, inacessível via JavaScript e protegido contra ataques XSS.

Essa abordagem é padrão em sistemas de autenticação modernos.

Segurança dos JWT tokens

O JWT é seguro - desde que seja implementado corretamente. Erros comuns podem abrir brechas sérias.

Por que o JWT não pode ser falsificado?

A principal proteção do JWT é a assinatura:

• O servidor assina o token com uma chave secreta
• O cliente não conhece essa chave
• A cada requisição, o servidor recalcula e compara a assinatura
• Se o conteúdo for alterado, a assinatura não bate e o acesso é negado

O principal risco: roubo do token

O JWT não pode ser adivinhado, mas pode ser roubado. Se um invasor obtiver o token:

• poderá fazer requisições como se fosse o usuário
• terá acesso a dados sensíveis

E o servidor não conseguirá distinguir entre o legítimo e o invasor.

Onde guardar o JWT com segurança?

1. localStorage
   • fácil de usar, mas vulnerável a XSS
2. sessionStorage
   • um pouco mais seguro, mas ainda acessível via JavaScript
3. Cookie HttpOnly (melhor opção)
   • não acessível por JavaScript
   • protegido contra XSS
   • pode ser enviado automaticamente pelo navegador

Erros comuns de iniciantes

1. Token com prazo muito longo - aumenta o risco em caso de roubo.
2. Armazenar informações sensíveis - nunca coloque senhas, dados pessoais ou segredos no JWT.
3. Não usar HTTPS - enviar tokens por HTTP facilita interceptações.
4. Falta de mecanismo de revogação - use tokens com vida curta e refresh token.

Resumo de segurança

• Use sempre HTTPS
• Mantenha o token com vida curta
• Utilize a combinação access + refresh token
• Guarde o mínimo de dados possível no token

Quando usar JWT

O JWT é uma ferramenta poderosa, mas não serve para todos os casos. Veja onde ele realmente se destaca:

Quando o JWT é a melhor escolha

1. Aplicações SPA (Single Page Application)
   • Front-end e back-end separados (React, Vue, Angular)
   • Muitos requests para APIs
   • Sem sessões tradicionais

   O JWT é ideal pois:

   • não precisa armazenar estado
   • é fácil de enviar em cada requisição
2. Aplicativos móveis
   • Em iOS/Android, não há cookies como no navegador
   • JWT pode ser armazenado localmente e enviado a cada requisição
3. APIs e microsserviços
   • Sistemas distribuídos, diversos serviços
   • Facilita a validação de usuários sem centralização
4. Autorização via serviços externos
   • Login com Google, redes sociais, etc.
   • Normalmente combinado com OAuth (saiba mais sobre OAuth 2.0)

Quando o JWT não é a melhor escolha

1. Sites simples
   • Projetos pequenos, renderização server-side: sessões são mais simples e seguras.
2. Necessidade de revogar acesso rapidamente
   • Se é essencial deslogar usuários imediatamente, use sessões tradicionais.
3. Altos requisitos de segurança
   • Bancos, sistemas corporativos: controle total das sessões pode ser indispensável.

A ideia central

O JWT é indicado para sistemas escaláveis, APIs e aplicações front-end modernas, mas não é uma solução universal.

Conclusão

O JWT token é uma solução moderna de autenticação, permitindo dispensar o armazenamento de sessões no servidor. Ele carrega todas as informações necessárias consigo e é protegido por assinatura, tornando o sistema rápido e escalável.

Vimos neste artigo:

• O que é o JWT token e sua estrutura
• Como funciona a autenticação sem sessões
• Principais diferenças entre JWT e sessões tradicionais
• Como funcionam access e refresh tokens
• Quais são os riscos e como evitá-los

O JWT é excelente para APIs, aplicativos móveis e microsserviços, mas pode ser exagerado em projetos simples.

Em resumo: JWT é sinônimo de praticidade e escalabilidade, enquanto sessões representam controle e simplicidade.

A escolha depende dos objetivos, arquitetura e exigências de segurança do seu projeto.