Apa yang Sering Salah dengan JWT
JWT sering digunakan untuk autentikasi karena praktis dan mudah diimplementasikan. Namun, penggunaan yang kurang tepat dapat menimbulkan risiko keamanan seperti XSS, token theft, dan penyalahgunaan token yang belum kedaluwarsa.
Beberapa kesalahan yang sering terjadi adalah menyimpan JWT di localStorage, menggunakan access token dengan masa berlaku terlalu panjang, tidak menerapkan refresh token rotation, serta tidak menyediakan mekanisme untuk mencabut token yang masih aktif.
Arsitektur JWT yang Lebih Aman
Implementasi JWT sebaiknya memisahkan access token dan refresh token.
-
Access token – berumur pendek, misalnya 15 menit, dan disimpan di memory
-
Refresh token – memiliki masa berlaku lebih panjang dan disimpan dalam
httpOnly cookie -
Refresh token rotation – setiap proses refresh menghasilkan refresh token baru
-
Token revocation – refresh token dapat dicabut ketika logout atau terdeteksi penyalahgunaan
Pendekatan ini membantu membatasi dampak apabila access token berhasil dicuri.
Implementasi JWT di Node.js
Access token dapat dibuat menggunakan library JWT dengan masa berlaku yang singkat.
jwt.sign(payload, secret, { expiresIn: '15m' })Sementara itu, refresh token dapat dibuat menggunakan nilai acak seperti crypto.randomUUID(). Sebaiknya server menyimpan hash refresh token di database sehingga token dapat divalidasi dan dicabut ketika diperlukan.
Refresh Token Flow
Ketika access token sudah kedaluwarsa, aplikasi dapat memanggil endpoint seperti POST /auth/refresh.
Server kemudian memvalidasi refresh token yang berasal dari cookie. Jika valid, server membuat access token dan refresh token baru serta menginvalidasi refresh token sebelumnya.
Refresh token rotation juga dapat membantu mendeteksi reuse token yang dicuri.
Logout yang Aman
Logout tidak cukup hanya menghapus data autentikasi dari sisi frontend. Server juga perlu menghapus atau menginvalidasi refresh token yang tersimpan.
Untuk fitur logout dari semua perangkat, seluruh refresh token yang terkait dengan akun pengguna dapat dicabut dari database.
Tambahkan Perlindungan Tambahan
Keamanan autentikasi sebaiknya tidak hanya bergantung pada JWT. Gunakan CORS dengan konfigurasi yang ketat, security headers melalui Helmet, serta rate limiting pada endpoint login dan refresh token.
Validasi input, HTTPS, dan pengelolaan secret yang aman juga penting untuk mengurangi risiko serangan terhadap sistem autentikasi.
Kesimpulan
JWT yang aman membutuhkan lebih dari sekadar membuat dan memvalidasi token. Gunakan access token berumur pendek, refresh token yang terlindungi, rotation, revocation, serta security layer tambahan agar sistem autentikasi lebih aman dan mudah dikendalikan.