Firma del JWT

El producto Login admite dos algoritmos de generación de firmas de JWT:

• HS256 es un algoritmo que utiliza una sola clave. Esta clave es compartida entre ambas partes —el servidor de Xsolla Login y su aplicación— y debe mantenerse en secreto. La misma clave se utiliza tanto para crear la firma del token como para validarla.
• RS256 es un algoritmo que utiliza un par de claves: una clave pública y una clave privada, que deben mantenerse en secreto. La clave privada solo se almacena en el servidor de Xsolla Login y se utiliza para firmar los tókenes. La clave pública (JSON Web Key) se emite a su aplicación para la validación de tókenes.

Dependiendo del algoritmo de generación de firmas elegido, su aplicación necesitará validar los tókenes de otra forma.

Al crear un proyecto de Login, por defecto, se selecciona el algoritmo HS256 y se genera automáticamente una clave secreta para firmar y validar tókenes. Obtenga la clave tal como se describe en la sección Cómo obtener la clave de validación del JWT. Para cambiar el algoritmo de generación de la firma o generar una nueva clave de validación del token, así como cambiar el periodo de validez del token, consulte la sección Cómo cambiar la configuración de la firma del JWT.

Cómo obtener la clave de validación del JWT

1. Abra su proyecto en Cuenta del editor y vaya a la sección de Login.
2. Haga clic en Configure en el panel de un proyecto de Login.
3. Vaya al bloque Security y seleccione la sección OAuth 2.0.

4. Haga clic en el icono de copia.

Utilice la clave copiada para validar los JWT en sus aplicaciones asociadas con este proyecto de Login.

Cómo cambiar la configuración de firma del JWT

Puede cambiar el algoritmo de generación de la firma del JWT, generar una nueva clave de validación del token y cambiar el periodo de validez del token.

1. Abra su proyecto en Cuenta del editor y vaya a la sección de Login.
2. Haga clic en Configure en el panel de un proyecto de Login.
3. Vaya al bloque Security y seleccione la sección JWT signature.
4. Si es necesario, cambie el algoritmo de generación de firma: HS256 o RS256.
5. Para restablecer la clave actual, haga clic en:
   • para el algoritmo HS256 - Restablecer la clave secreta;
   • para el algoritmo RS256 - Restablecer JSON Web Key.

6. Si ha cambiado el algoritmo de generación de firma o ha restablecido la clave actual, el producto Login generará una nueva clave (par de claves). En este caso:
   1. Copie la nueva clave de validación del token haciendo clic en el icono de copia.
   2. Actualice la clave de validación del token en todas sus aplicaciones asociadas a este proyecto de Login.
7. Para cambiar el periodo de validez de los tókenes, especifique el valor deseado en segundos en el campo Token lifetime.
8. Haga clic en Save changes.

1. Si sus acciones provocaron un cambio en la clave de validación del token actual (cambio de algoritmo o restablecimiento de la clave actual), el producto Login le pedirá confirmación para aplicar la nueva clave.

9. En la ventana modal, marque la casilla I understand y haga clic en Yes, apply.