Autenticación vs autorización
Primero demuestras quién eres, luego qué puedes hacer.
- Autenticación: validar identidad.
- Autorización: validar permisos por recurso.
- Nunca asumas permisos por tener token válido.
JavaScript
57
Fundamentos de auth y sesiones/JWT
Comprende autenticación y autorización en Node para implementar sesiones o JWT con validaciones y caducidad controlada.
Código del tema: session | jwt | middleware auth
📘 Teoría
JWT con caducidad y claims mínimos
Token pequeño, vida corta y firma fuerte.
Payload mínimo recomendado
const payload = { sub: user.id, role: user.role };
// exp corta + refresh strategy fuera del access tokenErrores críticos de auth
Son frecuentes y explotables.
- Guardar secretos en repositorio.
- Tokens sin caducidad.
- No invalidar sesión tras cambio de contraseña.
- Responder mensajes de error que revelan demasiado.
Conexión con seguridad frontend
El cliente también forma parte del modelo de amenazas.