É seguro armazenar o token de acesso no armazenamento local

1. Não há problema em armazenar o token de acesso no armazenamento local?
2. Onde devo armazenar meu token de acesso?
3. Está armazenando JWT no armazenamento local seguro?
4. Devo armazenar token de acesso no banco de dados?
5. O que você não deve armazenar em armazenamento local?
6. O armazenamento local é mais seguro do que os cookies?
7. Pode acessar o token ser roubado?
8. Qual é o melhor lugar para armazenar JWT?
9. O armazenamento local é vulnerável ao XSS?
10. O armazenamento local é vulnerável ao CSRF?
11. Onde devo armazenar token de acesso e refrescar o token?
12. Onde você mantém o front -end do token de acesso?
13. É seguro armazenar o token de atualização no banco de dados?
14. Quanto tempo devem acessar os tokens durar?
15. Você deve cache o acesso aos tokens?

Não há problema em armazenar o token de acesso no armazenamento local?

Por outro. Se um invasor puder injetar javascript malicioso em uma página da web, ele poderá roubar um token de acesso no LocalStorage. Além disso, diferentemente dos cookies, o LocalStorage não fornece atributos seguros que você pode definir para bloquear ataques.

Onde devo armazenar meu token de acesso?

A prática usual é armazenar tokens de acesso no armazenamento de sessão do navegador ou armazenamento local. Isso ocorre porque precisamos persistir tokens de acesso através de recarregamentos de página, para evitar a necessidade de re-autenticar em todos os recarregados. Isso proporciona uma melhor experiência do usuário.

Está armazenando JWT no armazenamento local seguro?

Um JWT precisa ser armazenado em um lugar seguro dentro do navegador do usuário. De qualquer maneira, você não deve armazenar um JWT em armazenamento local (ou armazenamento de sessão). Se você o armazenar em um localStorage/SessionStorage, ele poderá ser facilmente agarrado por um ataque XSS.

Devo armazenar token de acesso no banco de dados?

Alguns tokens de acesso duram uma ou duas horas e são adequados para armazenar na sessão. Outros são tokens de longo prazo, por exemplo, o Facebook fornece um token de 60 dias, e eles fazem mais sentido para armazenar em um banco de dados. De qualquer maneira, armazenar o token nos libertará de pedir ao usuário para autorizar novamente.

O que você não deve armazenar em armazenamento local?

Dados os possíveis vetores em que os atores maliciosos podem acessar informações no armazenamento local do seu navegador, é fácil entender por que informações confidenciais, como informações de identificação pessoal (PII), tokens de autenticação, localizações de usuários e chaves de API, etc., nunca deve ser armazenado no armazenamento local.

O armazenamento local é mais seguro do que os cookies?

Embora os cookies ainda tenham algumas vulnerabilidades, é preferível em comparação com o localStorage sempre que possível. Por que? Tanto o localStorage quanto os cookies são vulneráveis ​​a ataques XSS, mas é mais difícil para o atacante fazer o ataque quando você estiver usando cookies httponly.

Pode acessar o token ser roubado?

Embora esses tokens sejam úteis para permitir os principais serviços de TI, eles também são vulneráveis ​​ao roubo.

Qual é o melhor lugar para armazenar JWT?

JWT deve ser armazenado em cookies. Você pode usar bandeiras httponly e seguras, dependendo de seus requisitos. Para proteger do atributo de cookie samesite do CSRF, pode ser definido como rigoroso se geralmente se encaixar no seu aplicativo - ele impedirá que os usuários conectados do seu site sigam qualquer link para o seu site de qualquer outro site.

O armazenamento local é vulnerável ao XSS?

Os ataques XSS injetam scripts maliciosos em aplicativos da web e, infelizmente, o LocalStorage e o SessionStorage estão vulneráveis ​​a ataques XSS. Os ataques XSS podem ser usados ​​para obter dados de objetos de armazenamento e adicionar scripts maliciosos aos dados armazenados.

O armazenamento local é vulnerável ao CSRF?

Tanto o localStorage quanto os cookies são vulneráveis ​​a ataques XSS, mas é mais difícil para o atacante fazer o ataque quando você estiver usando cookies httponly. Os cookies são vulneráveis ​​a ataques de CSRF, mas podem ser mitigados usando sinalizadores samesite e tokens anti-CSRF.

Onde devo armazenar token de acesso e refrescar o token?

Se o seu aplicativo usar a rotação do token de atualização, agora poderá armazená -lo em armazenamento local ou memória do navegador. Você pode usar um serviço como o auth0 que suporta rotação de token.

Onde você mantém o front -end do token de acesso?

Onde devo armazenar meus tokens no front-end? Existem duas maneiras comuns de armazenar seus tokens. O primeiro está em LocalSorage e o segundo está em cookies. Há muito debate sobre o qual é melhor com a maioria das pessoas inclinadas para os cookies, pois são mais seguros.

É seguro armazenar o token de atualização no banco de dados?

Não armazene ou use tokens de acesso OAuth ou atualize tokens em clientes da web ou móveis. Oauth Access Tokens and Atualize Tokens devem ser criptografados e armazenados em um banco de dados seguro. Seu aplicativo deve usar um forte padrão de criptografia, como AES.

Quanto tempo devem acessar os tokens durar?

Por padrão, os tokens de acesso são válidos por 60 dias e os tokens de atualização programáticos são válidos por um ano. O membro deve reautorizar seu aplicativo quando os tokens de atualização expirar.

Você deve cache o acesso aos tokens?

Tokens de cache

Como buscar novos tokens é caro, recomendamos o uso de um cache de token para evitar solicitações desnecessárias. Depois de recuperar um token, armazene-o em um cache na memória, como o memcached ou um ASP embutido.Serviço de cache líquido.