Sicherheit

Asymmetrisch signiertes JWT ohne kid-Header

Üblicher Schweregrad: Hinweis · Aufwand: gering

Woran du es erkennst

Ein Token mit asymmetrischer Signatur (RS256/ES256) trägt keinen kid-Header — die Schlüsselauswahl beim Prüfen ist damit nicht eindeutig.

Warum es zählt

Ohne kid muss der Verifier bei mehreren aktiven Schlüsseln raten oder alle durchprobieren. Keine unmittelbare Lücke, aber eine fehleranfällige Rotation: Ein kid macht die Schlüsselauswahl eindeutig und die Rotation sauber planbar.

So behebst du es

  1. Beim Signieren einen kid-Header setzen, der den aktiven Schlüssel eindeutig benennt (etwa eine Versionsnummer oder einen Thumbprint).
  2. Die Rotation dokumentieren und automatisieren: alter und neuer Schlüssel laufen eine Übergangszeit parallel, der kid steuert die Auswahl.

Zum Nachlesen