JWT Nedir?

JWT, JSON Web Token'ın kısaltmasıdır. Taraflar arasında bilgiyi JSON nesnesi olarak güvenle iletmek için kullanılan kompakt, URL güvenli bir token formatıdır. Bilgi dijital olarak imzalandığından doğrulanabilir ve güvenilir olur. JWT'ler en çok web ve mobil uygulamalarında kimlik doğrulama ve yetkilendirme için kullanılır.

Tarihçe

JWT, IETF (İnternet Mühendisliği Görev Gücü) tarafından önerilmiş ve Mayıs 2015'te RFC 7519 olarak standartlaştırılmıştır. Daha geniş JSON Nesne İmzalama ve Şifreleme (JOSE) çerçevesinin bir parçası olarak geliştirilmiştir. JWT, birçok web bağlamında SAML token'ları gibi daha ağır XML tabanlı alternatiflerin yerini alarak REST API'leri ve tek sayfalık uygulamalar için baskın token formatı haline gelmiştir.

Yapı

Bir JWT, nokta ile ayrılmış üç Base64URL kodlamalı bölümden oluşur: başlık.yük.imza

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9
.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkFsaWNlIiwiaWF0IjoxNTE2MjM5MDIyfQ
.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

1. Başlık (Header)

Başlık, token türünü ve kullanılan imzalama algoritmasını belirtir:

{
  "alg": "HS256",
  "typ": "JWT"
}

2. Yük (Payload)

Yük, claim'leri içerir — kullanıcı hakkındaki ifadeler ve ek meta veriler. Standart claim'ler:

• sub — Konu (kullanıcı tanımlayıcısı)
• iat — Oluşturulma zamanı (Unix zaman damgası)
• exp — Son kullanma zamanı (Unix zaman damgası)
• iss — Yayıncı (token'ı kim oluşturdu)
• aud — Hedef kitle (amaçlanan alıcılar)

{
  "sub": "1234567890",
  "name": "Ali",
  "role": "admin",
  "iat": 1516239022,
  "exp": 1516242622
}

3. İmza (Signature)

İmza, kodlanmış başlık ve yük, gizli anahtarla (asimetrik algoritmalar için özel anahtar) imzalanarak oluşturulur. Token'ın kurcalanmadığını garanti eder:

HMACSHA256(
  base64UrlEncode(başlık) + "." + base64UrlEncode(yük),
  gizliAnahtar
)

JWT Kimlik Doğrulama Nasıl Çalışır

1. Kullanıcı kimlik bilgileriyle giriş yapar (kullanıcı adı + şifre)
2. Sunucu kimlik bilgilerini doğrular ve imzalı bir JWT oluşturur
3. Sunucu JWT'yi istemciye döndürür
4. İstemci JWT'yi saklar (genellikle bellekte veya localStorage'da)
5. İstemci her istekte JWT'yi Authorization: Bearer <token> başlığında gönderir
6. Sunucu imzayı doğrular ve veritabanı sorgusu olmadan claim'leri okur

İmzalama Algoritmaları

• HS256 / HS384 / HS512 — SHA-2 ile HMAC. İmzalama ve doğrulama için tek bir paylaşılan gizli anahtar kullanır. Basit ve hızlı, ancak tüm tarafların gizli anahtarı paylaşması gerekir.
• RS256 / RS384 / RS512 — SHA-2 ile RSA. İmzalamak için özel anahtar, doğrulamak için genel anahtar kullanır. Doğrulayıcı yeni token oluşturamaz.
• ES256 / ES384 / ES512 — SHA-2 ile ECDSA. RSA'ya benzer ancak daha küçük anahtar boyutları ve daha iyi performans sunar.

Güvenlik Kuralları

• Yük yalnızca Base64 ile kodlanmıştır, şifrelenmemiştir — JWT yüküne hiçbir zaman şifre veya hassas veri koymayın
• JWT'leri her zaman HTTPS üzerinden iletin
• Kısa exp süresi belirleyin (15–60 dakika yaygındır) ve yenileme token'ları kullanın
• Sunucuda her zaman imzayı ve exp claim'ini doğrulayın
• alg: none algoritmasını asla kabul etmeyin — imza doğrulamasını tamamen devre dışı bırakır
• XSS riskini azaltmak için token'ları localStorage yerine bellekte veya httpOnly cookie'lerde saklayın