OAuth, JWT ושערי API: הפרידו בקרות אבטחה

בחרו תפקיד לפני כלי

אסימון גישה של OAuth עשוי להיות אטום או להשתמש ב־JWT. פענוח JWT אינו מאמת מקוריות; JWT חתום אינו מצפין אוטומטית את תוכנו. שער אינו מחליף הרשאות עסקיות בשירותים.

בדקו את הפרוטוקול וכל גישה

• בחרו זרימה המתאימה ללקוח. במסלולי משתמש פעלו לפי ההמלצות העדכניות לקוד הרשאה ו־PKCE, עם ספרייה מתוחזקת והפניות מבוקרות בקפדנות.
• ב־JWT שמתקבל בדקו חתימה, אלגוריתמים מורשים, מנפיק, קהל ודרישות הזמן של הפרופיל. דחו אסימונים לשימוש אחר.
• בדקו כל אובייקט, פעולה וארגון. נסו גישה בין חשבונות בנתונים בדיוניים; תפקיד או היקף כללי אינם תמיד מספיקים.

תכננו תפוגה, ביטול ותקריות

תעדו חידוש, החלפת מפתחות, אובדן סודות ואסטרטגיית ביטול. בדיקה מקומית אינה לומדת אוטומטית על ביטול מרחוק. צמצמו נתוני אסימון ויומנים; JWT ומכסות לבדם אינם מבטיחים אבטחה או עמידה בדרישות.

מקורות ראשוניים

• IETF RFC 9700 — OAuth 2.0 Security Best Current Practice [EN]
• IETF RFC 8725 — JWT Best Current Practices [EN]
• OpenID Foundation — OpenID Connect Core 1.0 [EN]
• OWASP — Authorization Cheat Sheet [EN]

{
    "old_origin": "https://login.old.example",
    "old_rp_id": "old.example",
    "new_origin": "https://login.new.example",
    "new_rp_id": "new.example",
    "same_service_account": true,
    "expected": "authenticated_new_registration"
}

{
    "issuance_succeeded": true,
    "proxy_count": 2,
    "proxies_serving_expected_certificate": 1,
    "other_proxy_certificate_expired": true,
    "tls_verification_enabled": true,
    "expected": "change_incomplete_fix_and_verify_client_paths"
}