Est-il sûr de stocker un jeton d'accès dans le stockage local

1. Est-il acceptable de stocker le jeton d'accès dans le stockage local?
2. Où devrais-je stocker mon jeton d'accès?
3. Le stockage JWT dans le stockage local sécurisé?
4. Devrais-je stocker le jeton d'accès dans la base de données?
5. Que devez-vous ne pas stocker dans le stockage local?
6. Le stockage local est-il plus sûr que les cookies?
7. Peut accéder au jeton pour être volé?
8. Quel est le meilleur endroit pour stocker JWT?
9. Le stockage local est-il vulnérable au XSS?
10. Le stockage local est-il vulnérable au CSRF?
11. Où devrais-je stocker le jeton d'accès et l'actualisation du jeton?
12. Où gardez-vous le frontage à jeton d'accès?
13. Est-il sûr de stocker des jetons de rafraîchissement dans la base de données?
14. Combien de temps devrait accéder aux jetons?
15. Si vous cachez des jeton d'accès?

Est-il acceptable de stocker le jeton d'accès dans le stockage local?

À la baisse, LocalStorage est potentiellement vulnérable aux attaques de scripts inter-sites (XSS). Si un attaquant peut injecter un JavaScript malveillant dans une page Web, il peut voler un jeton d'accès à LocalStorage. Contrairement aux cookies, LocalStorage ne fournit pas d'attributs sécurisés que vous pouvez définir pour bloquer les attaques.

Où devrais-je stocker mon jeton d'accès?

La pratique habituelle consiste à stocker des jetons d'accès dans le stockage de session du navigateur ou le stockage local. En effet. Cela offre une meilleure expérience utilisateur.

Le stockage JWT dans le stockage local sécurisé?

Un JWT doit être stocké dans un endroit sûr à l'intérieur du navigateur de l'utilisateur. De toute façon, vous ne devriez pas stocker un JWT dans le stockage local (ou le stockage de session). Si vous le stockez dans un Localstorage / SessionStorage, il peut être facilement saisi par une attaque XSS.

Devrais-je stocker le jeton d'accès dans la base de données?

Certains jeton d'accès durent une heure ou deux et sont bien adaptés pour stocker dans la session. D'autres sont des jetons à long terme, par exemple Facebook fournit un jeton de 60 jours, et ceux-ci ont plus de sens de stocker dans une base de données. Quoi qu'il en soit, le stockage du jeton nous libérera de devoir demander à l'utilisateur d'autoriser à nouveau.

Que devez-vous ne pas stocker dans le stockage local?

Compte tenu des vecteurs potentiels où les acteurs malveillants peuvent accéder aux informations sur le stockage local de votre navigateur, il est facile de voir pourquoi des informations sensibles telles que des informations personnellement identifiables (PII), des jetons d'authentification, des emplacements d'utilisateurs et des clés d'API, etc., ne devrait jamais être stocké dans le stockage local.

Le stockage local est-il plus sûr que les cookies?

Bien que les cookies aient encore des vulnérabilités, il est préférable par rapport à LocalStorage dans la mesure du possible. Pourquoi? LocalStorage et les cookies sont vulnérables aux attaques XSS, mais il est plus difficile pour l'attaquant de faire l'attaque lorsque vous utilisez des cookies httponly.

Peut accéder au jeton pour être volé?

Bien que ces jetons soient utiles pour activer les services informatiques clés, ils sont également vulnérables au vol.

Quel est le meilleur endroit pour stocker JWT?

JWT devrait être stocké dans des cookies. Vous pouvez utiliser des drapeaux httponly et sécurisés en fonction de vos besoins. Pour protéger de l'attribut CSRF Samesite Cookie peut être défini sur strict s'il convient généralement à votre application - il empêchera les utilisateurs connectés de votre site de suivre tout lien vers votre site de tout autre site.

Le stockage local est-il vulnérable au XSS?

Les attaques XSS injectent des scripts malveillants dans des applications Web, et malheureusement, la localstorage et la sessionstorage sont vulnérables aux attaques XSS. Les attaques XSS peuvent être utilisées pour obtenir des données à partir d'objets de stockage et ajouter des scripts malveillants aux données stockées.

Le stockage local est-il vulnérable au CSRF?

LocalStorage et les cookies sont vulnérables aux attaques XSS, mais il est plus difficile pour l'attaquant de faire l'attaque lorsque vous utilisez des cookies httponly. Les cookies sont vulnérables aux attaques du CSRF, mais il peut être atténué en utilisant un drapeau samesite et des jetons anti-CSRF.

Où devrais-je stocker le jeton d'accès et l'actualisation du jeton?

Si votre application utilise une rotation de jetons d'actualisation, il peut désormais le stocker dans le stockage local ou la mémoire du navigateur. Vous pouvez utiliser un service comme Auth0 qui prend en charge la rotation des jetons.

Où gardez-vous le frontage à jeton d'accès?

Où devrais-je stocker mes jetons dans le front-end? Il existe deux façons courantes de stocker vos jetons. Le premier est dans localstorage et le second est en cookies. Il y a beaucoup de débats sur lequel est le mieux avec la plupart des gens se penchant vers les cookies car ils sont plus sûrs.

Est-il sûr de stocker des jetons de rafraîchissement dans la base de données?

Ne stockez pas et n'utilisez pas de jetons d'accès OAuth ou ne vous actualisez pas sur des clients Web ou mobiles. Les jetons d'accès OAuth et les jetons de rafraîchissement doivent être cryptés et stockés dans une base de données sécurisée. Votre application doit utiliser une forte norme de chiffrement telle que AES.

Combien de temps devrait accéder aux jetons?

Par défaut, les jetons d'accès sont valables pendant 60 jours et les jetons de rafraîchissement programmatiques sont valables pendant un an. Le membre doit réautoriser votre application lorsque les jetons de rafraîchissement expirent.

Si vous cachez des jeton d'accès?

Jetons de cache

Parce que la récupération de nouveaux jetons coûte cher, nous vous recommandons d'utiliser un cache de jeton pour éviter les demandes inutiles. Après avoir récupéré un jeton, stockez-le dans un cache en mémoire, comme Memcached, ou un ASP intégré.Service de cache net.