🤓¿Sabés dónde guardar el token de auth en el front?

➡️Aquí te explico dónde y por qué.

-
#programming #tech #it #componentes #framework #library #tecnologia #software #fullstack #desarrolloweb #programacion #programador #programadores #ingenieriadesoftware #informatica #webdevelopment #frontend #backend #coding #developer #webdev #gentlemanprogramming #learnprogramming #tokenauth #localstorage

[foxdie]

Para los que vienen a preguntar de seguridad. El token es seguro en cualquiera de esas partes, si vos lo copias y lo queres inyectar en otro sitio web no va a funcionar porque tiene otra firma de servidor. Y es mas seguro cuanto menos es su tiempo de vida, esto lo definis conociendo tu publico, si usan en promedio la app 2 horas al dia haces tokens que duren 3 horas ponele.

[gpl-oi]

de las que se pregunta las cookies son mejores, son seguras, se pueden configurar para que se eliminen al cerrar la sesión (eliminar pestaña), para que tengan una duración máxima, para que solo puedan acceder por http y para que funcionen en el mismo sitio. Su única limitación es su almacenamiento. Los otros metodos sirven para persistir datos más grandes y menos seguros

[JoAkiiiN]

Creo que al final y por las preocupaciones de los comentarios depende muchísimo del contexto del proyecto como manejar el token, en un pentest que nos hicieron una de las observaciones fue que redujeramos el tiempo de vida y que controlaramos una revocación mediante black list o white list.

[fredinfunez]

Que opinas de las que va en los headers del response, las httpcookies? Lei que es menos vulnerable

[CasetaViladelaColina]

Lo ideal es que la clave este cifrada, recomendable JWT

[thepablopissoni]

Pense que ibas a decir en las cookies ya que se envian al servidor

[alejandrosuarez]

Pero eso es vulnerable a ataques xss o me equivoco?

[martin]

Si la política de token es que expire cada 30 minutos, el refreshToken cada 24hs. Como puedo gestionar que un usuario pueda acceder sin necesidad de ingresar el usuario y contraseña ?

Existe otro tipo de token o debo almacenar su usuario y contraseña?

[dannyhill]

accessToken 4 min exp javascript variable

refreshToken ( se guarda en DB )
remember me 30 days exp ( no recomendable para apps de datos sensibles tipo bancos y por el estilo) cambia cada vez que se emite un nuevo accessToken, se elimina el anterior de la DB. HttpOnly cookie secure samesite MaxAge 30 days

no remember me HttpOnly cookie secure samesite MaxAge 0

logout ( se borra de la DB el token y se borra la cookie en el back )

[hernanmoya]

redux persist, usa local storage para persistir el token

[olmanmora]

He escuchado que esa practica compromete la seguridad aunque es la mas usada

[MundoAnime-md]

Midudev dice que son mejores y relativamente mas seguras las cookies

[kvieres]

Que locura hablas hombre, como un Token va a durar días, cómo va a depender del logout..

O sea, ingreso a la página del banco en la mañana, luego se sienta alguien mas en mi laptop por la tarde y sigue logueado...

[tutorialeshonestos]

Entonces el bigote no es quien te da el conocimiento, siempre fuiste tú!!