--- id: CP-195 slug: jwt-json-web-token-handtekening-valkuilen lang: nl title: JSON Web Token (JWT) description: Een JWT is het bewijs dat een applicatie u geeft na het inloggen. Wat de handtekening controleert, de valkuilen en de gewoonten die u het best aanhoudt. canonical_url: https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “JSON Web Token (JWT)”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-027 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen/ fr: https://startbrain.io/cyberpedia/fr/articles/jwt-json-web-token-signature-pieges/ en: https://startbrain.io/cyberpedia/en/articles/jwt-json-web-token-signature-pitfalls/ de: https://startbrain.io/cyberpedia/de/articles/jwt-json-web-token-signatur-fallstricke/ es: https://startbrain.io/cyberpedia/es/articles/jwt-json-web-token-firma-trampas/ it: https://startbrain.io/cyberpedia/it/articles/jwt-json-web-token-firma-insidie/ sources: - "n": 1 title: Tokens and claims overview - Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens published: "2025-03-21" accessed: "2026-11-03" - "n": 2 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform - Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens published: "2025-05-14" accessed: "2026-11-03" - "n": 4 title: Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 5 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Steal Web Session Cookie, Technique T1539 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1539/ accessed: "2026-11-03" --- # JSON Web Token (JWT) Nadat u bent ingelogd in een bedrijfsapplicatie, geeft die u een digitaal bewijs dat uw browser of applicatie daarna bij elk verzoek toont. Bij Microsoft heeft dat bewijs de vorm van een JSON Web Token, of JWT, met daarin "claims", oftewel verklaringen over de gebruiker of de applicatie [1]. Een JWT kan worden gedecodeerd, bijvoorbeeld met de site jwt.ms, en de handtekening dient om de echtheid van het token te controleren [3]. Deze pagina behandelt wat de medewerker doet en wat de verantwoordelijke doet. ## In 30 seconden - Waar het gebeurt: bij het Microsoft-identiteitsplatform, dat gebruikers authenticeert en toegangs-, vernieuwings- en identiteitstokens levert [1]. - Wat de aanvaller wil: een geldig token stelen om te handelen met de rechten van de eigenaar, zonder het wachtwoord te kennen [2]. - De reflex: stuur of publiceer nooit een token of een adres dat er een bevat, log uit na gebruik en meld ongewoon gedrag. - Als het al gebeurd is: log uit en waarschuw dan de IT-afdeling. OWASP wijst erop dat het verwijderen van een cookie niet volstaat: "deleting a cookie alone does not invalidate a stolen copy of the session ID", en ongeldigverklaring aan de serverkant is nodig [6]. ## Directe vragen ### Wat is een JWT? Een JWT bestaat uit drie delen die door een punt zijn gescheiden: de header, de body en de handtekening [3]. De body bevat de claims. De handtekening dient om de echtheid van het token te beoordelen [3]. ### Voorkomt de handtekening dat het token wordt gelezen? De handtekening dient om de echtheid van het token te controleren. Microsoft geeft aan dat ontwikkelaars een JWT kunnen decoderen met een site als jwt.ms, voor validatie en foutopsporing [3]. Het token is gevoelig en vormt een veiligheidsrisico als het verkeerd wordt behandeld [3]. ### Kan iemand met een gestolen token echt in mijn plaats handelen? Ja. MITRE beschrijft tegenstanders die gestolen toegangstokens gebruiken om het gebruikelijke authenticatieproces te omzeilen en toegang te krijgen tot accounts, informatie of diensten. Deze tokens worden gebruikt in plaats van inloggegevens [2]. ### Blijft een gestolen token lang geldig? Dat hangt af van de geldigheidsduur. Voor Microsoft-toegangstokens is de standaardduur een willekeurige waarde tussen 60 en 90 minuten, gemiddeld 75 minuten [3]. Tenants zonder voorwaardelijke toegang hebben een standaardduur van twee uur voor clients zoals Microsoft Teams en Microsoft 365 [3]. MITRE merkt echter op dat de tegenstander soms ook een vernieuwingstoken kan stelen, waarmee nieuwe toegangstokens te krijgen zijn zonder de gebruiker erbij te betrekken [4]. ## Hoe het werkt De autorisatieserver ondertekent het token met een privésleutel en publiceert de bijbehorende openbare sleutel. Om een token te valideren controleert de applicatie de handtekening met deze openbare sleutel [1]. De header van de JWT vermeldt het ondertekeningsalgoritme (claim `alg`) en de te gebruiken openbare sleutel (claim `kid`) [3]. Microsoft Entra ID geeft tokens uit die zijn ondertekend met standaard asymmetrische algoritmen, zoals RS256 [3]. Het toegangstoken wordt als "bearer"-token in de Authorization-header aan een API doorgegeven [1]. Omdat tokens maar beperkte tijd geldig zijn, levert de server vaak een paar: een toegangstoken en een vernieuwingstoken, dat dient om het eerste te verlengen als het bijna verloopt [1]. Het vernieuwingstoken levert alleen een nieuw toegangstoken op als de gebruiker nog steeds is geautoriseerd [1]. Bij OpenID Connect is het ID Token een ondertekende JWT waarmee een applicatie de identiteit van de gebruiker kan controleren [5]. ## Wat u doet Als medewerker: - Stuur nooit een token, noch een webadres dat er een bevat, in een bericht, een ticket of op een forum. Sessie-identificatoren in een adres kunnen terechtkomen in links, logbestanden, de browsergeschiedenis, bladwijzers, de Referer-header of zoekmachines [6]. - Log uit als u klaar bent. Een applicatie moet een zichtbare en bereikbare uitlogknop bieden, zodat de gebruiker zijn sessie op elk moment kan afsluiten [6]. - Reken niet op het sluiten van de browser: daarmee is uitloggen niet betrouwbaar af te dwingen, zeker niet op mobiele apparaten [6]. - Meld ongewoon gedrag (onverwacht uitgelogd worden, acties die u niet hebt uitgevoerd, een verzoek om een onbekende applicatie toe te staan). MITRE beschrijft aanvallers die toegang laten verlenen aan een kwaadaardige applicatie door een gerichte phishinglink te sturen [4]. Als verantwoordelijke, om te eisen van teams en leveranciers: - Validatie van de handtekening en de uitgever door de applicatie die het token ontvangt, met de waarden die in het OpenID-discoverydocument zijn gepubliceerd [3]. - Controle van de doelgroep (audience): een API mag alleen tokens accepteren waarvan de claim `aud` bij haar past. Een token accepteren dat voor een andere resource bedoeld is, is een voorbeeld van het "confused deputy"-probleem [3]. - Beproefde bibliotheken in plaats van eigen code. Microsoft beveelt zijn MSAL-bibliotheken aan, die het verkrijgen, vernieuwen en valideren van tokens afhandelen [1]. - Beperkte sessieduur. OWASP noemt als gebruikelijke bereiken voor de inactiviteitstime-out 2 tot 5 minuten voor toepassingen met hoge waarde en 15 tot 30 minuten voor toepassingen met laag risico, en vraagt ook om een absolute time-out ongeacht de activiteit [6]. - Voorzichtige opslag aan de browserkant (zie het volgende onderdeel). ## De valkuilen MITRE geeft aan dat gestolen tokens "used in lieu of login credentials" worden, dat wil zeggen in plaats van inloggegevens [2]. MITRE merkt op dat sessiecookies sommige protocollen voor multifactorauthenticatie kunnen omzeilen [7]. In de bronnen komen verschillende implementatiefouten terug. - Opslag in de browser. OWASP raadt af om authenticatietokens, sessie-identificatoren, JWT's of vernieuwingstokens op te slaan in localStorage of sessionStorage: die ruimtes zijn toegankelijk voor alle JavaScript die in de origin draait, zodat één XSS-kwetsbaarheid alle tokens prijsgeeft [6]. OWASP geeft de voorkeur aan HttpOnly-, Secure- en SameSite=Strict-cookies, of aan een model van het type Backend-for-Frontend [6]. - Het token in het adres. Een identificator die via de URL wordt doorgegeven, kan uitlekken en andere aanvallen vergemakkelijken, zoals sessiefixatie [6]. - Validatie op de verkeerde plek. Volgens Microsoft mag een client niet proberen een toegangstoken te valideren: dat is de taak van de API, en de client behandelt het als een ondoorzichtige tekenreeks [3]. - Vertrouwen op de inhoud zonder de handtekening te controleren. Een applicatie die een token moet valideren, begint met het controleren van de handtekening en de uitgever [3]. - Tokens die uit de infrastructuur worden weggehaald. In Kubernetes-omgevingen of ketens voor continue integratie en uitrol kunnen API-tokens worden gestolen als de container of de keten is gecompromitteerd [4]. - Sessiediefstal via een kwaadaardig script of een phishingproxy. MITRE noemt malware die browsercookies als doelwit heeft, en vrije tools als Evilginx2 en Muraena die cookies verzamelen via een kwaadaardige proxy [7]. De hier aangehaalde bronnen beschrijven andere vaak genoemde ontwerpfouten niet in detail, zoals het algoritme "none", sleutelverwarring of zwakke geheimen. Dat punt laat u het best door de ontwikkelteams controleren aan de hand van hun eigen referentiekaders. ## Bronnen 1. Microsoft, “Tokens and claims overview - Microsoft identity platform”, 21 maart 2025. https://learn.microsoft.com/en-us/entra/identity-platform/security-tokens (geraadpleegd op 3 november 2026) 2. MITRE ATT&CK, “Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1550/001/ (geraadpleegd op 3 november 2026) 3. Microsoft, “Access tokens in the Microsoft identity platform - Microsoft identity platform”, 14 mei 2025. https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1528/ (geraadpleegd op 3 november 2026) 5. OWASP, “Authentication - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 6. OWASP, “Session Management - OWASP Cheat Sheet Series”. https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (geraadpleegd op 3 november 2026) 7. MITRE ATT&CK, “Steal Web Session Cookie, Technique T1539 - Enterprise | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1539/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/jwt-json-web-token-handtekening-valkuilen/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.