JWT (JSON Web Token)

JSON Web Token, iddiaları kompakt biçimde taşıyan bir token formatıdır. Bu platform JWS kompakt biçiminde imzalı JWT kullanır: başlık, yük ve imza için üç base64url parçası vardır. JWT, JWE ile şifrelenebilir; her JWT okunabilir üç parçalı bir token değildir.

Nasıl çalışır

Token bearer kimlik bilgisi olarak gönderilir. Doğrulayan uygulama izin verilen algoritmaları sınırlandırmalı, güvenilir anahtarla imzayı doğrulamalı ve uygulamanın gerektirdiği düzenleyici, hedef kitle ve zaman iddialarını denetlemelidir. Yükün çözülebilmesi, içeriğe güvenilebileceği anlamına gelmez.

Yaygın yanılgı

JWS imzası yükü şifrelemez; bu platformun tokenını eline geçiren herkes yükü okuyabilir. JWT, JWE ile şifrelemeyi de destekler. Kendi kendine yeterli bir token otomatik iptal edilmez; anında iptal için engel listesi, token sürüm denetimi veya introspection gibi ek kontroller gerekir.

Burada deneyin

`POST /auth/v1/login` ile admin/admin123 gerçekten imzalanmış bir JWT verir. Ortadaki parçayı çözüp kendi iddialarınızı okuyun; sonra süresinin dolmasını bekleyip 401’in gelişini izleyin.

İlgili

• OAuth 2.0, JWT ve token süresi testi
• Bearer token nedir

Kaynaklar

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

Diğer terimler

• Bearer token — Yalnızca elinde bulundurmanın erişim sağladığı kimlik bilgisi — kim taşıyorsa o kullanabilir.
• JWKS — JSON Web Key Set — bir yayımlayıcının, imzaladığı token’ları herkesin doğrulayabilmesi için yayımladığı açık anahtarlar.
• Yenileme belirteci — Kullanıcıdan yeniden giriş istemeden yeni, kısa ömürlü erişim token’ları almak için kullanılan uzun ömürlü kimlik bilgisi.
• OAuth 2.0 — Bir uygulamanın kullanıcının şifresiyle uğraşmak yerine sınırlı bir erişim token’ı almasını sağlayan standart çerçeve.
• PKCE — Proof Key for Code Exchange — çalınan bir OAuth yetkilendirme kodunun başkası tarafından kullanılmasını engelleyen tek seferlik bir gizli değer.
• OpenID Connect — OAuth 2.0’ın üzerine eklenen ve istemciye kullanıcının kim olduğunu imzalı bir ID token ile söyleyen kimlik katmanı.

Bu sayfayı İngilizce okuyun

Tüm sözlük maddeleri · Test teknikleri · 39 mock REST API’nin tamamı

Son güncelleme 16 Ekim 2026