Blog
Artikel, Leitfäden und Updates.
Wie man JWT-Probleme in Logs, Tickets, CLI-Tools, Screenshots und Incident-Kanälen untersucht, ohne Bearer Tokens zu verbreiten.
Operative Hinweise für JWT-Signing-Keys: Erzeugung, Speicherung, KMS, Rotation, Zugriffskontrolle, Audit und Notfallreaktion.
Eine erprobte Abfolge zum Testen von JWT-Implementierungen: Sammlung, Decoding, Claims, Schlüssel, Replay und Reporting.
Designnotizen zur Begrenzung von Replay bei geleakten Bearer Tokens, inklusive jti, Session-State, Gerätesignalen und Rotation.
Wie man entscheidet, welchen Claims man vertraut, welche erneut geprüft werden müssen und wo JWT-Autorität enden sollte.
Ein praktischer Blick auf JWT-Speicherung im Browser, XSS, CSRF, Cookies, localStorage, Service Worker und Threat Models.
Wie exp, nbf, iat, Toleranzfenster, Retries und regionale Uhren echte Validierungsentscheidungen beeinflussen.
Die unsauberen Randfälle hinter JWKS-Caching, Schlüsselrotation, veralteten kid-Werten und robustem Verifier-Design.
Wie Algorithmusverwechslung entsteht, wenn Verifier symmetrische und asymmetrische Annahmen mischen.