Caducidad, revocación y rotación de claves

Un JWT firmado es autocontenido: el validador comprueba firma y fecha y lo acepta, sin consultar a nadie. Eso lo hace rápido y escalable, pero tiene una consecuencia: si el token se roba, seguirá valiendo hasta su exp aunque el usuario cambie la contraseña. Hay tres respuestas combinadas. Una, vida corta de los tokens de acceso, con un token de refresco más protegido para pedir otros nuevos. Dos, una lista de revocados por jti (el identificador único del token) que el validador consulta, o por cuenta, para las cuentas comprometidas. Tres, rotar la clave de firma cuando el compromiso es de gran alcance, lo que invalida todo lo firmado con ella.

Ninguna es gratis: la lista de revocados devuelve al sistema una consulta que el token pretendía evitar, y por eso se reserva para lo que de verdad hay que cortar ya.

La vida de un token de acceso es una decisión de riesgo: más corta, menos exposición y más peticiones de renovación; más larga, al revés. Una hora es un valor habitual para APIs internas; en las de datos sensibles se baja a minutos. Lo que no admite discusión es que la vida real coincida con la prevista: si el emisor se sale de lo declarado, la política es papel.

Calcula, con la tabla de tokens emitidos, cuántos minutos de vida tiene el token de acceso que se emitió al usuario usr-3308.

La lista de revocados solo sirve si el validador la consulta. Esa es la comprobación que se olvida: se mantiene una lista en el emisor, se actualiza a conciencia, y el validador nunca la lee. El resultado se ve en el registro de validaciones: un identificador que estaba en la lista y, después de revocarse, aparece aceptado.

Contrasta la lista de revocados con las validaciones recientes y localiza el identificador que se aceptó a pesar de estar revocado. Los parámetros del validador explican por qué.

Rotar una clave de firma es cambiarla de forma periódica o tras un incidente: se da de alta la nueva, se firma solo con ella, y la vieja se mantiene un tiempo solo para verificar lo que ya se emitió. Cuando la vieja pasa a «retirada», no debería firmar ni un token más. Si lo hace, la rotación es de calendario pero no de efecto, y un token firmado con una clave retirada es una pista de que algo del emisor sigue apuntando a ella.

Cruza la tabla de claves de firma con la de tokens emitidos y localiza la clave retirada con la que se firmó un token después de la fecha de retiro.

Los relojes de emisor y validador no marcan exactamente lo mismo, así que la RFC 7519 admite un pequeño margen al comparar exp y nbf, y habla de unos pocos minutos como mucho. Cualquier cifra bastante mayor deja de ser tolerancia y se convierte en una ampliación silenciosa de la vida del token: con un margen de un día, un token «de una hora» sigue aceptándose durante veinticinco.

Lee el parámetro del margen de reloj en la configuración del validador.