Skip to main content
1 de 4

Para comenzar, deberíamos analizar la diferencia entre una sesión y un sistema de authenticacion basada en tokens. JSON Web Token en este caso.

La principal diferencia es que JWT es stateless (sin estado), es decir, el servidor no mantiene el estado del cliente que se comunica. Por el otro lado, las sesiones si lo hacen. Dicho esto, con las sesiones el cliente se autentica una sola vez (por lo menos hasta que la sesión expire) pero el servidor necesita mantener un numero minimo de datos de dicho cliente para mantener la sesión, por otro lado un token necesita ser enviado en cada peticion al servidor para authenticar/validar la peticion.

Piensa en los tokens como una pulsera de discoteca, (que previamente has comprado), puedes entrear y salir de dicha discoteca las veces que quieras, siempre y cuando presentes la pulsera en la entrada. En ese punto, es responsabilidad de la discoteca poder validar la pulsera, o sea, saber si es original, y no la has hecho tu mismo. A la discoteca no le importa donde la has comprado, cual es tu nombre, ni cuantas veces has entrado y salido, solo importa porder definir si la pulsera (token) es verdadera. Todo esto en el contexto de la autenticación claro está.

Para una API, usar JSON Web Token tiene varias ventajas:

  • JWTs es auto-contenido, se lleva información dentro de sí mismo, como la infomacion del usuario por ejemplo. Esto te puede ahorra consultas en la base de datos.

  • Se pueden transferir facilmente por todos lados. Esto es util por ejemplo, si tienes varios microservicios y quieres que varios clientes (una aplicacion web y una mobile) se autentiquen con un mismo token. Basta que los servidores implicados conozcan la salt que se empleo para aplicar el hash sobre el token.

  • Como es un estandar, pudes usarlo con difentes tipos de plataformas y lenguajes de programación.