Saltar al contenido principal
son los algoritmos que se utilizan para firmar los tokens emitidos para tu aplicación o API. Una firma forma parte de un JSON Web Token (JWT) y se usa para verificar que el emisor del token es quien dice ser y para garantizar que el mensaje no haya sido modificado durante el proceso. Puedes seleccionar entre los siguientes algoritmos de firma:
  • RS256 (Firma RSA con SHA-256): Un algoritmo asimétrico, lo que significa que hay dos claves: una pública y una privada que debe mantenerse en secreto. Auth0 tiene la clave privada que se utiliza para generar la firma, y el consumidor del obtiene una clave pública de los endpoints de metadatos proporcionados por Auth0 y la utiliza para validar la firma del JWT.
  • HS256 (HMAC con SHA-256): Un algoritmo simétrico, lo que significa que solo hay una clave privada que debe mantenerse en secreto y que se comparte entre las dos partes. Dado que la misma clave se usa tanto para generar la firma como para validarla, se debe tener cuidado de que la clave no se vea comprometida. Esta clave privada (o secreto) se crea cuando registras tu aplicación () o API (secreto de firma) y eliges el algoritmo de firma HS256.
  • PS256 (Firma RSA con SHA-256): Un algoritmo asimétrico, lo que significa que hay dos claves: una pública y una privada que debe mantenerse en secreto. Auth0 tiene la clave privada que se utiliza para generar la firma, y el consumidor del JWT obtiene una clave pública de los endpoints de metadatos proporcionados por Auth0 y la utiliza para validar la firma del JWT. A diferencia de RS256, el mismo encabezado y payload del JWT generará una firma diferente cada vez.
La práctica más segura, y nuestra recomendación, es usar RS256 porque:
  • Con RS256, tienes la seguridad de que solo el poseedor de la clave privada (Auth0) puede firmar tokens, mientras que cualquiera puede comprobar si el token es válido usando la clave pública.
  • Con RS256, si la clave privada se ve comprometida, puedes implementar la rotación de claves sin tener que volver a implementar tu aplicación o API con el nuevo secreto (lo que tendrías que hacer si usaras HS256).
Si estás configurando la autenticación Private Key JWT con una conexión empresarial de Okta u OpenID Connect (OIDC), es posible que tengas que elegir algoritmos de firma adicionales.
Si necesitas ayuda para solucionar problemas, consulta Solucionar errores de token no válido.

​
Más información